Otthoni VPN barátoknak: az exitet osszuk meg, ne a LAN-t

Azt mondani, hogy egy barát böngészhet az otthoni kapcsolatodon keresztül, nem ugyanaz, mint azt mondani, hogy használhatja az otthoni hálózatodat, és a két mondat közötti különbség magában foglalja a NAS-t, a nyomtatókat, az útválasztó admin oldalát és a LAN minden más eszközét. Minden elrendezésnek saját továbbítási szabályai vannak. A legtöbb megosztott VPN-es eset, amiről hallok, nem egzotikus támadás; hanem egy vendég, aki elért valamit, mert senki nem írta le, melyik határt vásárolják. Döntsd el, milyen szerződést kínálsz, majd fejezd ki továbbítási és hozzáférési szabályzatban, ne egy üzenetben.

Két szerződés, amely ugyanúgy hangzik

A csak internet azt jelenti, hogy a meghívott kliens forgalma a kapcsolatodon keresztül távozik, és semmi tovább. A teljes hozzáférés azt jelenti, hogy ugyanaz a kliens a helyi hálózatodhoz is csatlakozik, és ez a második szerződés csendben magában foglalja az elsőt, és így csúsznak bele az emberek. A különbség néhány továbbítási szabályra redukálódik, és ez a különbség a sávszélesség megosztása és a ház megosztása között is. Írd le a szerződést, mielőtt a tűzfalhoz nyúlsz, mert egy utólag hozzáadott szabályt könnyebb indokolni, mint eltávolítani.

Válaszd a csak internetes szerződést, hacsak valakinek tényleg nincs szüksége LAN-szolgáltatásra, mert egy szabály, amit soha nem írtál le, olyan engedély, amit soha nem adtál. Utána ellenőrizd, melyik szerződést valósítja meg a kliensszoftver, mert a teljes alagút alapértelmezése csendben a szélesebbet nyújthatja.

Első határ: az otthoni hálózat

A vendégforgalomnak semmi keresnivalója az otthoni hálózatokon. Egy külön VPN-alhálózat vagy dedikált hosting-szegmens könnyebbé teszi e szabályzat kifejezését, de a más név önmagában semmit nem kényszerít ki. Nevezd meg az eszközt, amely valóban mozgatja a csomagokat, és ott tartsd az átjárási szabályokat, mert a nem továbbító gépen írt szabály csak díszítés. Amikor a VPN az útválasztón fut, az a kikényszerítési pont az útválasztó saját továbbítási lánca.

Az ügyfélizolációval működő vendéghálózat ésszerű alternatíva, feltéve, hogy a VPN-kliensek valóban ott landolnak. Mindkét tervnek ugyanarra a tesztre van szüksége kliensről, nem a konzolról.

Második határ: a hoszt és a többi vendég

A klienseknek a VPN-szolgáltatásra van szükségük, és semmi másra a gépen, amely futtatja, így a kezelési hozzáférés külön engedély marad. Ezt adják meg leggyakrabban véletlenül, mert az alagút-figyelő és az adminisztrációs felület ugyanazon a dobozon van. Ha a VPN az útválasztón végződik, az alagútport és a webes vagy SSH-felület különböző alanyok, és különböző szabályokat érdemelnek. A bejelentkező oldalt védő szabályt soha nem szabad a továbbítás tilalmaként olvasni.

Az internetes hozzáférés sem igényli, hogy az egyik meghívott kliens elérje a másikat. A távoli hozzáférési poolok gyakran megosztott szegmensként viselkednek, hacsak nem mondod másként, ezért tedd egyértelművé a döntést a pool konfigurációjában. Néhány barát esetében az izoláció az az alapértelmezés, amelyet érdemes választani.

Térképezd fel az útvonalakat, mielőtt szabályokat írsz

Egy önálló készüléknek két külön csomagkészlete van felügyeletre: amelyek rajta végződnek, és amelyeket egy kliens nevében továbbít. A CISA hálózati iránymutatásai a bejövő, kimenő és hálózatok közötti útvonalakat indoklást igénylő hozzáférésnek tekintik, és itt ez a helyes keret. Sorold fel az otthoni előtagokat úgy, ahogy valójában vannak, IPv4 és IPv6 is, mert a csak IPv4-et blokkoló szabály egy IPv6-ot is routeoló otthont ugyanazon a határon teljesen nyitva hagy. Utána döntsd el, hogyan kapnak DNS-t a kliensek, és hogy egy feloldó kivétel csak a szándékolt szolgáltatást teszi-e elérhetővé.

Ezek követelmények, nem univerzális recept, mert a szabályok attól függnek, hol végződik a VPN, és hol történik a fordítás. Kerüld egy széles engedély hozzáadását csak azért, hogy az első böngészőkérés sikerüljön.

Mit vállalsz, és hogyan teszteld

Az exit megosztása üzemeltetési szerepet teremt. Hívd meg az embereket a szolgáltatás identitásmodelljén keresztül, tedd gyakorlativá az eltávolítást, tartsd karban a hosztot és az útválasztót, és döntsd el, az uploadod mekkora részét használhatja a szolgáltatás. A kérések a te címedről indulnak, ezért a panaszok és a hírnévproblémák a te ajtódon kopogtatnak akkor is, ha egyetlen privát eszközt sem érintettek. Egy technikai izolációs terv semmit nem mond a jogi helyzetről, és a forgalom szokásos webportokra korlátozása nem tesz minden engedélyezett tevékenységet ártalmatlanná.

Utána teszteld az elutasításokat egy engedélyezett klienssel, ne az útválasztó konzoljáról. A következők mindegyikének teljesülnie kell:

• Az internetes hozzáférés működik a vendégalagúton.
• A NAS-t és a nyomtatókat cím és név szerint is elutasítja.
• Az útválasztó adminisztrációja az alagút címéről elutasításra kerül.
• Egy második meghívott kliens elérhetetlen.
• A kliens engedélyezésének eltávolítása valóban megszünteti a hozzáférést.

Ha a tulajdonos nem tudja fenntartani ezeket a határokat és az üzemeltetési feladatokat, a konfigurációs fájl átadása alábecsüli, mit kér tőle az elrendezés. Ez a szolgáltatás őszinte leírása, és abba az üzenetbe tartozik, amely a konfigurációval együtt utazik.