Otthoni VPN közzététele: mit tesz valójában elérhetővé

Egy portot továbbít az alagút számára, és azt mondja magának, hogy a változás korlátozott. A gyakorlatban a port csak csomagokat enged be; ami mögötte van, az a kitettség. Három dolog dönti el ezt a kitettséget: a nyilvános oldalon figyelő socket, az alagút által elfogadott identitás, és a célok, amelyeket ez az identitás utána elérhet. Mindegyik saját választ igényel, mert az egyikben tett óvatos választás nem korlátozza a többit.

A porttovábbítás nem szolgáltatás

Az útválasztó szabálya csomagokat mozgat egy gazdagép felé; nem nevezi meg az őket olvasó folyamatot. A továbbítási oldal és a figyelő socket különböző helyeken él, ezért egy szabály olyan gépre mutathat, amely már nem futtatja a szolgáltatást. Hogy megtudja, mi válaszol valójában, nézze meg a gazdagépen: a ss -lntup felsorol minden figyelő socketet a tulajdonos folyamattal együtt. Ezután párosítsa a folyamatot egy komponenshez, verzióhoz és tulajdonoshoz.

A szabály eltávolítása, amelyet emlékezete szerint létrehozott, nem zárja be az ajtót. Egy UPnP-leképezés magától is hozzáadódhatott, egy IPv6-cím elérhető maradhat, miután az IPv4-bejegyzés eltűnt, és egy második közzétételi módszer létezhet egy másik gépen. Olvassa el az útválasztó UPnP-leképezési listáját és statikus bejegyzéseit, majd teszteljen a hálózaton kívülről.

A bejelentkezés nem LAN-engedély

Az alagút dönti el, ki csatlakozhat; az erőforrások döntik el, mit nyithat meg egy csatlakozott kliens. A NIST nulla bizalmon alapuló útmutatása ugyanezt a felosztást végzi hálózati léptékben: egy cím semmit sem bizonyít az engedélyezésről. Adjon egy regisztrált laptopnak egy feladatot, például egy fájlmegosztás olvasását egy megnevezett gazdagépen, és írja le ezt a párt. Az alagút címének nem kellene örökölnie a rendszergazdai hozzáférést a ház többi részéhez.

Vizsgálja meg azokat az útvonalakat is, amelyeket egy összefoglaló kihagy: kliens-kliens forgalom, híd-tagság, internettovábbítás és forrásfordítás. Mindegyik összekapcsolhat két rendszert, amelyet az írott feladat soha nem említ. Kapcsolja ki azokat, amelyekre a feladatnak nincs szüksége, majd sorolja fel, mit érhet még el a kliens.

A tiszta vizsgálat nagyon keveset bizonyít

A nyitott port egy címről és egy protokollról szóló tény; a sikeres bejelentkezés egy hitelesítő adatról szóló tény. Egyik sem mondja meg, mi történik ezután. Tesztelje a szándékolt műveletet a szándékolt gazdagépen, majd próbáljon ki egy soha nem regisztrált identitást, egy senki által nem jóváhagyott szolgáltatást és a felügyeleti felületet, amelynek privátnak kell maradnia. Az utolsó teszt általában az, amelyik elbukik.

Tesztelje mindkét címcsaládot és minden útvonalat, amelyet közzétesz. Az IPv4-cím vizsgálata semmit sem mond egy figyelő IPv6-szolgáltatásról, és egy belső teszt nem látja a NAT-hurok problémáját vagy egy felső szűrőt. Futtasson legalább egy ellenőrzést kívülről, olyan kapcsolaton, amely nem ugyanazon az útválasztón jön vissza.

Írja le a kitettséget

Egy rövid táblázat olyasmivé teszi az átvizsgálást, amit a következő ember auditálhat. Töltse ki kívülről befelé, egy sor minden elérhető szolgáltatáshoz, és tartsa a konfigurációnál, ne egy csevegőszálban. Ha egy sornak nincs tulajdonosa, az egy megállapítás.

A csak “a VPN”-t mondó sorok még nem sorok. Egy sornak kell a socket, a gazdagép, az identitás és a cél, mert ezt tesztelné egy auditor vagy egy támadó.

Tervezze meg a kivonást, mielőtt szüksége lenne rá

Az az alagút, amelyet nem tud visszavonni, állandó ajtó. Döntse el előre, hogyan vonja vissza egy eszköz hitelesítő adatát, hogyan fejez be egy élő munkamenetet, és hogyan állítja helyre a hozzáférést, miután egy frissítés elrontja a szolgáltatást. Tartson olyan helyreállítási útvonalat, amely nem az alagúton keresztül vezet, mert az alagút az, amit javítani fog. Tárolja ott, ahol elérheti azt a gép nélkül.

Az átvizsgálás akkor kész, amikor a szándékolt cél működik, a nem kívántak pedig nem. Ez nem garancia arra, hogy nincs sebezhetőség, és egy szkenner zöld címkéje egyiket sem helyettesíti. Adja át a táblázatot és a helyreállítási megjegyzést annak, aki örökli a beállítást.