दोस्तों के लिए घरेलू VPN: एग्ज़िट साझा करें, LAN नहीं

यह कहना कि कोई दोस्त आपके घरेलू कनेक्शन से ब्राउज़ कर सकता है, यह कहने के बराबर नहीं है कि वह आपके घरेलू नेटवर्क का उपयोग कर सकता है, और इन दो वाक्यों के बीच के अंतर में NAS, प्रिंटर, राउटर का एडमिन पेज और LAN पर मौजूद हर दूसरा डिवाइस शामिल है। हर व्यवस्था को अपने फ़ॉरवर्डिंग नियम चाहिए। मैं जिन साझा VPN घटनाओं के बारे में सुनता हूँ, उनमें से ज़्यादातर विचित्र हमले नहीं हैं; वह एक मेहमान है जो किसी चीज़ तक पहुँच गया क्योंकि किसी ने नहीं लिखा कि कौन-सी सीमा खरीदी जा रही है। तय करें कि आप कौन-सा अनुबंध दे रहे हैं, फिर उसे संदेश में नहीं, फ़ॉरवर्डिंग और ऐक्सेस नीति में व्यक्त करें।

एक जैसे सुनाई देने वाले दो अनुबंध

सिर्फ़ इंटरनेट का मतलब है कि आमंत्रित क्लाइंट का ट्रैफ़िक आपके कनेक्शन से बाहर जाता है और उससे आगे कुछ नहीं। पूर्ण ऐक्सेस का मतलब है कि वही क्लाइंट आपके स्थानीय नेटवर्क में भी शामिल होता है, और वह दूसरा अनुबंध चुपचाप पहले को शामिल कर लेता है, और इसी तरह लोग उसमें फिसल जाते हैं। अंतर कुछ फ़ॉरवर्डिंग नियमों तक सिमट जाता है, और यह बैंडविड्थ साझा करने और घर साझा करने के बीच का अंतर भी है। फ़ायरवॉल को छूने से पहले अनुबंध लिख लें, क्योंकि बाद में जोड़ा गया नियम हटाने की तुलना में उचित ठहराना आसान होता है।

सिर्फ़-इंटरनेट अनुबंध चुनें, जब तक किसी को वाकई LAN सेवा की ज़रूरत न हो, क्योंकि जो नियम आपने कभी लिखा ही नहीं, वह ऐसी अनुमति है जो आपने कभी दी ही नहीं। फिर जाँचें कि क्लाइंट सॉफ़्टवेयर कौन-सा अनुबंध लागू करता है, क्योंकि फ़ुल-टनल डिफ़ॉल्ट चुपचाप बड़ा वाला दे सकता है।

सीमा एक: घरेलू नेटवर्क

मेहमान ट्रैफ़िक का घरेलू नेटवर्क पर कोई काम नहीं है। अलग VPN सबनेट या समर्पित होस्टिंग सेगमेंट उस नीति को व्यक्त करना आसान बनाते हैं, लेकिन अलग नाम अपने आप कुछ लागू नहीं करता। उस डिवाइस का नाम लें जो असल में पैकेट आगे बढ़ाता है और क्रॉसिंग नियम वहीं रखें, क्योंकि जो मशीन फ़ॉरवर्ड नहीं करती उस पर लिखा नियम सिर्फ़ सजावट है। जब VPN राउटर पर चलता है, तो वह प्रवर्तन-बिंदु राउटर की अपनी फ़ॉरवर्ड चेन है।

क्लाइंट आइसोलेशन वाला मेहमान नेटवर्क उचित विकल्प है, बशर्ते VPN क्लाइंट असल में उस पर उतरें। दोनों डिज़ाइनों को कंसोल से नहीं, क्लाइंट से वही परीक्षण चाहिए।

सीमा दो: होस्ट और दूसरे मेहमान

क्लाइंट को VPN सेवा चाहिए और उसे चलाने वाली मशीन पर कुछ और नहीं, इसलिए प्रबंधन ऐक्सेस अलग अनुमति ही रहता है। यही सबसे ज़्यादा गलती से दिया जाता है, क्योंकि टनल लिसनर और एडमिन इंटरफ़ेस एक ही बॉक्स पर होते हैं। अगर VPN राउटर पर समाप्त होता है, तो टनल पोर्ट और वेब या SSH इंटरफ़ेस अलग विषय हैं और अलग नियमों के हक़दार हैं। लॉगिन पेज की रक्षा करने वाले नियम को कभी भी फ़ॉरवर्डिंग पर रोक के रूप में नहीं पढ़ा जाना चाहिए।

इंटरनेट ऐक्सेस के लिए भी यह ज़रूरी नहीं कि एक आमंत्रित क्लाइंट दूसरे तक पहुँच सके। रिमोट-ऐक्सेस पूल अक्सर साझा सेगमेंट की तरह व्यवहार करते हैं जब तक आप अलग न कहें, इसलिए पूल कॉन्फ़िगरेशन में फ़ैसला स्पष्ट करें। कुछ दोस्तों के लिए, आइसोलेशन ही चुनने लायक डिफ़ॉल्ट है।

नियम लिखने से पहले रास्तों का नक्शा बनाएँ

स्टैंडअलोन उपकरण के पास निगरानी के लिए पैकेट के दो अलग सेट होते हैं: जो उस पर समाप्त होते हैं और जो वह क्लाइंट की ओर से रिले करता है। CISA के नेटवर्क दिशानिर्देश इनबाउंड, आउटबाउंड और अंतर-नेटवर्क रास्तों को ऐसे ऐक्सेस के रूप में देखते हैं जिसे औचित्य चाहिए, और यहाँ यही सही ढाँचा है। घर के प्रीफ़िक्स जैसे हैं वैसे ही सूचीबद्ध करें, IPv4 और IPv6 दोनों, क्योंकि सिर्फ़ IPv4 ब्लॉक करने से जो घर IPv6 भी रूट करता है वह उसी सीमा पर पूरी तरह खुला रह जाता है। फिर तय करें कि क्लाइंट को DNS कैसे मिलता है और क्या कोई रिज़ॉल्वर अपवाद सिर्फ़ इच्छित सेवा को उजागर करता है।

ये आवश्यकताएँ हैं, कोई सार्वभौमिक नुस्ख़ा नहीं, क्योंकि नियम इस पर निर्भर हैं कि VPN कहाँ समाप्त होता है और अनुवाद कहाँ होता है। सिर्फ़ पहली ब्राउज़र रिक्वेस्ट सफल होने के लिए व्यापक अनुमति जोड़ने से बचें।

आप क्या ज़िम्मा ले रहे हैं, और इसे कैसे जाँचें

एग्ज़िट साझा करना एक परिचालन भूमिका बनाता है। लोगों को सेवा के पहचान मॉडल के ज़रिए आमंत्रित करें, हटाना व्यवहार्य बनाएँ, होस्ट और राउटर का रखरखाव करें, और तय करें कि सेवा आपके अपलोड का कितना उपयोग कर सकती है। रिक्वेस्ट आपके पते से निकलती हैं, इसलिए शिकायतें और प्रतिष्ठा की समस्याएँ आपके दरवाज़े पर आती हैं, भले ही किसी निजी डिवाइस को छुआ न गया हो। तकनीकी आइसोलेशन डिज़ाइन कानूनी स्थिति के बारे में कुछ नहीं कहता, और ट्रैफ़िक को सामान्य वेब पोर्ट तक सीमित करना हर अनुमत गतिविधि को हानिरहित नहीं बनाता।

फिर इनकारों को राउटर कंसोल से नहीं, अधिकृत क्लाइंट से जाँचें। इनमें से हर एक सही होना चाहिए:

• मेहमान टनल से इंटरनेट ऐक्सेस काम करता है।
• NAS और प्रिंटर पते से और नाम से अस्वीकार होते हैं।
• टनल पते से राउटर प्रबंधन अस्वीकार होता है।
• दूसरा आमंत्रित क्लाइंट पहुँच से बाहर है।
• क्लाइंट की अनुमति हटाने से ऐक्सेस वाकई बंद हो जाता है।

अगर मालिक वे सीमाएँ और परिचालन कर्तव्य नहीं निभा सकता, तो कॉन्फ़िगरेशन फ़ाइल सौंपना इस बात को कम आँकता है कि यह व्यवस्था उससे क्या माँगती है। यह सेवा का ईमानदार वर्णन है, और यह उस संदेश में होना चाहिए जो कॉन्फ़िगरेशन के साथ जाता है।