VPN rumahan untuk teman: bagikan jalur keluar, bukan LAN

Mengatakan seorang teman boleh menjelajah lewat koneksi rumah Anda tidak sama dengan mengatakan ia boleh memakai jaringan rumah Anda, dan celah antara kedua kalimat itu memuat NAS, printer, halaman admin router, dan setiap perangkat lain di LAN. Setiap pengaturan memerlukan aturan penerusan sendiri. Sebagian besar insiden VPN bersama yang saya dengar bukan serangan eksotis; itu adalah tamu yang mencapai sesuatu karena tidak ada yang menuliskan batas mana yang dibeli. Putuskan kontrak mana yang Anda tawarkan, lalu nyatakan dalam kebijakan penerusan dan akses, bukan dalam pesan.

Dua kontrak yang terdengar sama

Hanya internet berarti lalu lintas klien yang diundang keluar melalui koneksi Anda dan tidak lebih jauh. Akses penuh berarti klien yang sama juga bergabung ke jaringan lokal Anda, dan kontrak kedua itu diam-diam mencakup yang pertama, dan begitulah orang tergelincir ke dalamnya. Perbedaannya bermuara pada beberapa aturan penerusan, dan itu juga perbedaan antara berbagi bandwidth dan berbagi rumah. Tuliskan kontraknya sebelum Anda menyentuh firewall, karena aturan yang Anda tambahkan belakangan lebih mudah dibenarkan daripada dihapus.

Pilih kontrak khusus internet kecuali seseorang benar-benar membutuhkan layanan di LAN, karena aturan yang tidak pernah Anda tulis adalah izin yang tidak pernah Anda berikan. Lalu periksa kontrak mana yang diterapkan perangkat lunak klien, karena default terowongan penuh bisa diam-diam memberikan yang lebih luas.

Batas satu: jaringan rumah

Lalu lintas tamu sama sekali tidak punya urusan di jaringan rumah. Subnet VPN terpisah atau segmen hosting khusus membuat kebijakan itu lebih mudah dinyatakan, tetapi nama yang berbeda tidak menegakkan apa pun dengan sendirinya. Sebutkan perangkat yang benar-benar memindahkan paket dan simpan aturan penyeberangan di sana, karena aturan yang ditulis pada mesin yang tidak meneruskan hanyalah hiasan. Saat VPN berjalan di router, titik penegakan itu adalah rantai penerusan router itu sendiri.

Jaringan tamu dengan isolasi klien adalah alternatif yang masuk akal, asalkan klien VPN benar-benar mendarat di sana. Kedua desain memerlukan uji yang sama dari klien, bukan dari konsol.

Batas dua: host dan tamu lain

Klien memerlukan layanan VPN dan tidak ada yang lain di mesin yang menjalankannya, jadi akses manajemen tetap izin terpisah. Itulah yang paling sering diberikan secara tidak sengaja, karena pendengar terowongan dan antarmuka administrasi berada di kotak yang sama. Jika VPN berakhir di router, port terowongan dan antarmuka web atau SSH adalah subjek berbeda dan pantas mendapat aturan berbeda. Aturan yang melindungi halaman masuk tidak boleh pernah dibaca sebagai larangan penerusan.

Akses internet juga tidak mengharuskan satu klien yang diundang bisa mencapai klien lain. Kumpulan akses jarak jauh sering berperilaku seperti segmen bersama kecuali Anda menyatakan sebaliknya, jadi buat keputusannya eksplisit dalam konfigurasi kumpulan. Untuk beberapa teman, isolasi adalah default yang layak dipilih.

Petakan jalurnya sebelum menulis aturan

Perangkat mandiri memiliki dua kumpulan paket terpisah untuk diawasi: yang berakhir padanya dan yang diteruskannya atas nama klien. Panduan jaringan CISA memperlakukan jalur masuk, keluar, dan antarjaringan sebagai akses yang membutuhkan pembenaran, dan itulah kerangka yang tepat di sini. Daftarkan prefiks rumah sebagaimana adanya, IPv4 dan IPv6 keduanya, karena pemblokiran hanya IPv4 meninggalkan rumah yang juga merutekan IPv6 terbuka lebar pada batas yang sama. Lalu putuskan bagaimana klien mendapatkan DNS dan apakah pengecualian resolver mana pun hanya mengekspos layanan yang dimaksud.

Ini adalah persyaratan, bukan resep universal, karena aturannya bergantung pada tempat VPN berakhir dan tempat penerjemahan terjadi. Hindari menambahkan izin luas hanya agar permintaan browser pertama berhasil.

Apa yang Anda ambil alih, dan cara mengujinya

Berbagi jalur keluar menciptakan peran operasional. Undang orang melalui model identitas layanan, buat penghapusan praktis, pelihara host dan router, dan putuskan berapa banyak unggahan Anda yang boleh dipakai layanan. Permintaan keluar dari alamat Anda, jadi keluhan dan masalah reputasi datang ke pintu Anda bahkan saat tidak ada perangkat pribadi yang tersentuh. Desain isolasi teknis tidak mengatakan apa pun tentang posisi hukum, dan membatasi lalu lintas ke port web umum tidak membuat setiap aktivitas yang diizinkan menjadi tak berbahaya.

Lalu uji penolakannya dengan klien yang berwenang, bukan dari konsol router. Masing-masing hal berikut harus berlaku:

• Akses internet berfungsi dari terowongan tamu.
• NAS dan printer ditolak berdasarkan alamat dan berdasarkan nama.
• Administrasi router ditolak dari alamat terowongan.
• Klien yang diundang kedua tidak dapat dijangkau.
• Menghapus otorisasi klien benar-benar mengakhiri akses.

Jika pemilik tidak dapat memelihara batas-batas itu dan tugas operasionalnya, menyerahkan berkas konfigurasi meremehkan apa yang diminta pengaturan itu darinya. Itulah deskripsi jujur dari layanan, dan itu termasuk dalam pesan yang menyertai konfigurasi.