VPN domestica per amici: condividi l'uscita, non la LAN

Dire che un amico può navigare tramite la tua connessione domestica non è lo stesso che dire che può usare la tua rete domestica, e lo spazio tra queste due frasi contiene il NAS, le stampanti, la pagina di amministrazione del router e ogni altro dispositivo sulla LAN. Ogni sistemazione ha bisogno delle proprie regole di inoltro. La maggior parte degli incidenti con VPN condivisa di cui sento parlare non sono attacchi esotici; è un ospite che ha raggiunto qualcosa perché nessuno ha scritto quale confine veniva acquistato. Decidi quale contratto offri, poi esprimilo nella politica di inoltro e accesso, non in un messaggio.

Due contratti che suonano uguali

Solo internet significa che il traffico del client invitato esce dalla tua connessione e nulla di più. Accesso completo significa che lo stesso client si unisce anche alla tua rete locale, e quel secondo contratto include silenziosamente il primo, ed è così che le persone ci scivolano dentro. La differenza si riduce a una manciata di regole di inoltro, ed è anche la differenza tra condividere larghezza di banda e condividere una casa. Scrivi il contratto prima di toccare il firewall, perché una regola aggiunta dopo è più facile da giustificare che da rimuovere.

Scegli il contratto solo internet a meno che qualcuno abbia davvero bisogno di un servizio sulla LAN, perché una regola che non hai mai scritto è un permesso che non hai mai concesso. Poi controlla quale contratto implementa il software client, perché un valore predefinito a tunnel completo può fornire silenziosamente quello più ampio.

Confine uno: la rete di casa

Il traffico ospite non ha proprio niente da fare sulle reti di casa. Una sottorete VPN separata o un segmento di hosting dedicato rendono quella politica più facile da esprimere, ma il nome diverso non impone nulla da solo. Nomina il dispositivo che sposta davvero i pacchetti e tieni lì le regole di attraversamento, perché una regola scritta su una macchina che non inoltra è decorazione. Quando la VPN gira sul router, quel punto di applicazione è la catena di inoltro del router stesso.

Una rete ospite con isolamento dei client è un'alternativa ragionevole, purché i client VPN vi atterrino davvero. Entrambi i progetti hanno bisogno dello stesso test da un client e non dalla console.

Confine due: l'host e gli altri ospiti

I client hanno bisogno del servizio VPN e di nient'altro sulla macchina che lo esegue, quindi l'accesso di gestione resta un permesso separato. È quello che viene concesso più spesso per caso, perché l'ascoltatore del tunnel e l'interfaccia di amministrazione stanno sulla stessa macchina. Se la VPN termina sul router, la porta del tunnel e l'interfaccia web o SSH sono soggetti diversi e meritano regole diverse. Una regola che protegge una pagina di accesso non dovrebbe mai essere letta come un divieto di inoltro.

L'accesso a internet non richiede nemmeno di lasciare che un client invitato raggiunga un altro. I pool di accesso remoto spesso si comportano come un segmento condiviso se non dici il contrario, quindi rendi esplicita la decisione nella configurazione del pool. Per una manciata di amici, l'isolamento è il valore predefinito che vale la pena scegliere.

Mappa i percorsi prima di scrivere le regole

Un dispositivo autonomo ha due insiemi separati di pacchetti da sorvegliare: quelli che terminano su di esso e quelli che inoltra per conto di un client. Le linee guida di rete della CISA trattano i percorsi in entrata, in uscita e tra reti come accesso che necessita di giustificazione, ed è il quadro giusto qui. Elenca i prefissi di casa così come sono davvero, IPv4 e IPv6 entrambi, perché un blocco solo IPv4 lascia una casa che instrada anche IPv6 completamente aperta allo stesso confine. Poi decidi come i client ottengono il DNS e se qualche eccezione del resolver espone solo il servizio previsto.

Sono requisiti e non una ricetta universale, perché le regole dipendono da dove termina la VPN e da dove avviene la traduzione. Evita di aggiungere un permesso ampio solo per far riuscire la prima richiesta del browser.

Cosa ti assumi, e come testarlo

Condividere un'uscita crea un ruolo operativo. Invita le persone tramite il modello di identità del servizio, rendi praticabile la rimozione, mantieni l'host e il router e decidi quanto della tua banda in upload il servizio può usare. Le richieste partono dal tuo indirizzo, quindi reclami e problemi di reputazione arrivano alla tua porta anche quando nessun dispositivo privato è stato toccato. Un progetto tecnico di isolamento non dice nulla sulla posizione legale, e limitare il traffico alle porte web comuni non rende innocua ogni attività consentita.

Poi prova i rifiuti con un client autorizzato e non dalla console del router. Ognuno di questi deve valere:

• L'accesso a internet funziona dal tunnel ospite.
• NAS e stampanti vengono rifiutati per indirizzo e per nome.
• L'amministrazione del router viene rifiutata dall'indirizzo del tunnel.
• Un secondo client invitato non è raggiungibile.
• Rimuovere l'autorizzazione del client termina davvero l'accesso.

Se il proprietario non può mantenere quei confini e i compiti operativi, consegnare un file di configurazione sottovaluta ciò che la sistemazione gli chiede. Questa è la descrizione onesta del servizio, e appartiene al messaggio che viaggia con la configurazione.