Menerbitkan VPN rumah: apa yang sebenarnya Anda ekspos

Anda meneruskan satu port untuk terowongan dan berkata pada diri sendiri bahwa perubahannya terbatas. Dalam praktiknya port hanya menerima paket; yang berdiri di belakangnya adalah eksposur. Tiga hal menentukan eksposur itu: soket yang mendengarkan di sisi publik, identitas yang diterima terowongan, dan tujuan yang dapat dijangkau identitas itu. Masing-masing perlu jawaban sendiri, karena pilihan hati-hati pada satu tidak membatasi yang lain.

Penerusan port bukan layanan

Aturan router memindahkan paket ke host; aturan itu tidak menyebut proses yang membacanya. Halaman penerusan dan soket pendengar berada di tempat berbeda, karena itu aturan bisa menunjuk mesin yang tidak lagi menjalankan layanan. Untuk mengetahui apa yang benar-benar menjawab, lihat pada host: ss -lntup mencantumkan setiap soket pendengar beserta proses pemiliknya. Lalu cocokkan proses itu dengan komponen, versi, dan pemilik.

Menghapus aturan yang Anda ingat pernah dibuat tidak menutup pintu. Pemetaan UPnP mungkin menambahkan dirinya sendiri, alamat IPv6 dapat tetap terjangkau setelah entri IPv4 hilang, dan metode penerbitan kedua mungkin ada di mesin lain. Baca daftar pemetaan UPnP router serta entri statisnya, lalu uji dari luar jaringan.

Login bukan izin LAN

Terowongan menentukan siapa yang boleh terhubung; sumber daya menentukan apa yang boleh dibuka klien yang terhubung. Panduan zero-trust NIST membuat pemisahan yang sama pada skala jaringan: alamat tidak membuktikan apa pun tentang otorisasi. Beri satu laptop terdaftar satu tugas, seperti membaca berbagi pakai file pada host bernama, dan tuliskan pasangan itu. Alamat terowongan tidak boleh mewarisi akses administrator ke seluruh rumah.

Periksa juga jalur yang dilewatkan ringkasan: lalu lintas klien-ke-klien, keanggotaan jembatan, penerusan internet, dan terjemahan sumber. Masing-masing dapat menyatukan dua sistem yang tidak pernah disebut tugas tertulis Anda. Matikan yang tidak dibutuhkan tugas, lalu daftar apa yang masih dapat dijangkau klien.

Pemindaian bersih membuktikan sangat sedikit

Port terbuka adalah fakta tentang satu alamat dan satu protokol; login berhasil adalah fakta tentang satu kredensial. Keduanya tidak mengatakan apa yang terjadi berikutnya. Uji operasi yang dimaksud pada host yang dimaksud, lalu coba identitas yang tidak pernah terdaftar, layanan yang tidak disetujui siapa pun, dan antarmuka manajemen yang seharusnya tetap privat. Uji terakhir biasanya yang gagal.

Uji kedua keluarga alamat dan setiap jalur yang Anda terbitkan. Pemindaian alamat IPv4 tidak mengatakan apa pun tentang layanan IPv6 yang mendengarkan, dan uji internal tidak dapat melihat masalah loopback NAT atau filter di hulu. Jalankan setidaknya satu pemeriksaan dari luar, pada koneksi yang tidak kembali melalui router yang sama.

Tuliskan eksposurnya

Tabel singkat mengubah tinjauan menjadi sesuatu yang dapat diaudit orang berikutnya. Isi dari luar ke dalam, satu baris per layanan yang dapat dijangkau, dan simpan bersama konfigurasi, bukan di utas obrolan. Jika suatu baris tidak memiliki pemilik, itu temuan.

Baris yang hanya mengatakan “VPN” belum menjadi baris. Baris memerlukan soket, host, identitas, dan tujuan, karena itulah yang akan diuji auditor atau penyerang.

Rencanakan penghentian sebelum Anda membutuhkannya

Terowongan yang tidak dapat Anda cabut adalah pintu permanen. Putuskan sebelumnya bagaimana menarik kredensial perangkat, mengakhiri sesi aktif, dan memulihkan akses setelah peningkatan merusak layanan. Pertahankan jalur pemulihan yang tidak melewati terowongan, karena terowongan itulah yang akan Anda perbaiki. Simpan di tempat yang dapat Anda jangkau tanpa mesin itu.

Tinjauan selesai ketika tujuan yang dimaksud berfungsi dan yang tidak diinginkan tidak. Ini bukan jaminan tidak ada kerentanan, dan label hijau pemindai tidak menggantikan keduanya. Serahkan tabel dan catatan pemulihan kepada siapa pun yang mewarisi penyiapan.