Heima-VPN fyrir vini: deildu útganginum, ekki LAN-inu

Að segja að vinur megi vafra um heimatenginguna þína er ekki það sama og að segja að hann megi nota heimanetið þitt, og bilið milli þessara tveggja setninga inniheldur NAS-inn, prentarana, stjórnborð beinisins og hvert annað tæki á LAN-inu. Hver ráðstöfun þarf sínar eigin framsendingarreglur. Flest tilvik um sameiginlegt VPN sem ég heyri um eru ekki framandi árásir; það er gestur sem náði einhverju vegna þess að enginn skrifaði niður hvaða mörk væru keypt. Ákveðið hvaða samning þið bjóðið, og tjáið hann síðan í framsendingar- og aðgangsstefnu, ekki í skilaboðum.

Tveir samningar sem hljóma eins

Aðeins internet þýðir að umferð boðsbiðlarans fer út um tenginguna þína og ekkert lengra. Fullur aðgangur þýðir að sami biðlari gengur líka í staðarnetið þitt, og sá seinni samningur felur hljóðlega í sér þann fyrri, og þannig læðast menn inn í hann. Munurinn snýst um handfylli framsendingarreglna, og hann er líka munurinn á að deila bandvídd og deila húsi. Skrifið samninginn niður áður en þið snertið eldvegginn, því reglu sem bætt er við síðar er auðveldara að réttlæta en að fjarlægja.

Veljið samninginn aðeins internet nema einhver þurfi virkilega LAN-þjónustu, því regla sem þið skrifuðuð aldrei er leyfi sem þið gáfuð aldrei. Athugið síðan hvaða samning biðlarahugbúnaðurinn útfærir, því sjálfgefið fullt göng getur hljóðlega veitt það víðtækari.

Mörk eitt: heimanetið

Gestumferð á ekkert erindi á heimanetin. Sérstakt VPN-undirnet eða sérstakur hýsingarhluti gerir þá stefnu auðveldari í tjáningu, en hitt nafnið þvingar ekkert fram eitt og sér. Nefnið tækið sem raunverulega hreyfir pakkana og haldið yfirferðarreglunum þar, því regla skrifuð á vél sem framsendir ekki er skraut. Þegar VPN-ið keyrir á beininum er sá framfylgdarpunktur framsendingarkeðja beinisins sjálfs.

Gestanet með biðlaraaðskilnaði er sanngjarn valkostur, að því tilskildu að VPN-biðlararnir lenda raunverulega á því. Báðar hönnunin þurfa sömu prófun frá biðlara, ekki frá stjórnborðinu.

Mörk tvö: hýsillinn og hinir gestirnir

Biðlarar þurfa VPN-þjónustuna og ekkert annað á vélinni sem keyrir hana, svo stjórnunaraðgangur er áfram sérstakt leyfi. Það er það sem oftast er veitt fyrir slysni, því hlustari gangsins og stjórnviðmótið eru í sama kassanum. Ef VPN-ið endar á beininum eru gagnaportið og vef- eða SSH-viðmótið mismunandi viðföng og eiga skilið mismunandi reglur. Regla sem verndar innskráningarsíðu ætti aldrei að vera lesin sem bann við framsendingu.

Internetaðgangur krefst heldur ekki þess að einn boðsbiðlari nái öðrum. Fjaraðgangshópar hegða sér oft eins og sameiginlegur hluti nema þið segið annað, svo gerið ákvörðunina skýra í stillingum hópsins. Fyrir handfylli vina er einangrun sú sjálfgefna sem er þess virði að velja.

Kortleggið leiðirnar áður en þið skrifið reglur

Sjálfstætt tæki hefur tvö aðskilin pakkasöfn til að hafa eftirlit með: þau sem enda á því og þau sem það framsendir fyrir hönd biðlara. Netleiðbeiningar CISA líta á innkomnar, útkomnar og millinetleiðir sem aðgang sem þarf rökstuðning, og það er rétti ramminn hér. Teljið upp heimilisforskeytin eins og þau eru í raun, IPv4 og IPv6 bæði, því blokkun aðeins á IPv4 lætur heimili sem beinir einnig IPv6 opið að fullu á sama mörkum. Ákveðið síðan hvernig biðlarar fá DNS og hvort einhver undantekning leysanda afhjúpi aðeins fyrirhugaða þjónustu.

Þetta eru kröfur en ekki algilt uppskrift, því reglurnar ráðast af því hvar VPN-inu lýkur og hvar þýðingin fer fram. Forðist að bæta við breiðu leyfi bara til að fyrsta beiðni vafrans takist.

Hvað þið takið á ykkur, og hvernig á að prófa það

Að deila útgangi skapar rekstrarhlutverk. Bjóðið fólki í gegnum auðkennislíkan þjónustunnar, gerið fjarlægingu framkvæmanlega, haldið hýslinum og beininum við og ákveðið hversu mikið af upphleðslunni þjónustan má nota. Beiðnir fara frá netfangi ykkar, svo kvartanir og orðsporsvandamál koma að dyrum ykkar jafnvel þótt ekkert einkatæki hafi verið snert. Tæknileg einangrunarhönnun segir ekkert um lagalega stöðu, og að takmarka umferð við algeng vefgáttir gerir ekki hverja leyfða athöfn skaðlausa.

Prófið síðan synjanirnar með heimildum biðlara í stað þess að gera það frá stjórnborði beinisins. Hvert eftirfarandi verður að gilda:

• Internetaðgangur virkar frá gestaganginum.
• NAS og prentarar eru synjaðir eftir veffangi og eftir nafni.
• Stjórnun beinisins er synjuð frá veffangi gangsins.
• Annar boðsbiðlari er óaðgengilegur.
• Að fjarlægja heimild biðlarans endar raunverulega aðganginn.

Ef eigandinn getur ekki viðhaldið þessum mörkum og rekstrarskyldunum, vanmetur afhending stillingaskrár það sem ráðstöfunin krefst af honum. Þetta er heiðarleg lýsing á þjónustunni, og hún á heima í skilaboðunum sem ferðast með stillingunni.