Pubblicare una VPN domestica: cosa esponi davvero

Inoltri una porta per il tunnel e ti dici che la modifica è circoscritta. In pratica la porta ammette solo pacchetti; ciò che sta dietro è l'esposizione. Tre cose decidono quell'esposizione: il socket in ascolto sul lato pubblico, l'identità che il tunnel accetta e le destinazioni che quell'identità può poi raggiungere. Ognuna richiede una risposta propria, perché una scelta accurata in una non vincola le altre.

L'inoltro di una porta non è un servizio

Una regola del router sposta i pacchetti verso un host; non nomina il processo che li legge. La pagina di inoltro e il socket in ascolto vivono in luoghi diversi, per questo una regola può puntare a una macchina che non esegue più il servizio. Per scoprire cosa risponde davvero, guarda sull'host: ss -lntup elenca ogni socket in ascolto con il processo che lo possiede. Poi abbina quel processo a un componente, una versione e un proprietario.

Rimuovere la regola che ricordi di aver creato non chiude la porta. Una mappatura UPnP può essersi aggiunta da sola, un indirizzo IPv6 può restare raggiungibile dopo che la voce IPv4 è sparita, e un secondo metodo di pubblicazione può esistere su un'altra macchina. Leggi l'elenco delle mappature UPnP del router e le sue voci statiche, poi prova dall'esterno della rete.

Un accesso non è un permesso LAN

Il tunnel decide chi può connettersi; le risorse decidono cosa può aprire un client connesso. La guida zero-trust di NIST fa la stessa separazione su scala di rete: un indirizzo non prova nulla sull'autorizzazione. Assegna a un portatile registrato un compito, come leggere una condivisione file su un host con nome, e annota quella coppia. Un indirizzo del tunnel non dovrebbe ereditare l'accesso amministrativo al resto della casa.

Esamina anche i percorsi che un riepilogo omette: traffico client-to-client, appartenenza al bridge, inoltro verso internet e traduzione della sorgente. Ognuno può unire due sistemi che il tuo compito scritto non menziona mai. Disattiva quelli che il compito non richiede, poi elenca ciò che il client può ancora raggiungere.

Una scansione pulita dimostra molto poco

Una porta aperta è un fatto su un indirizzo e un protocollo; un accesso riuscito è un fatto su una credenziale. Nessuno dei due dice cosa succede dopo. Prova l'operazione prevista sull'host previsto, poi prova un'identità mai registrata, un servizio che nessuno ha approvato e l'interfaccia di gestione che dovrebbe restare privata. L'ultimo test è di solito quello che fallisce.

Prova entrambe le famiglie di indirizzi e ogni percorso che pubblichi. Una scansione dell'indirizzo IPv4 non dice nulla su un servizio IPv6 in ascolto, e un test interno non può vedere un problema di loopback NAT o un filtro a monte. Esegui almeno un controllo dall'esterno, su una connessione che non torni attraverso lo stesso router.

Scrivi l'esposizione

Una tabella breve trasforma la revisione in qualcosa che la persona successiva può verificare. Compilala dall'esterno verso l'interno, una riga per ogni servizio raggiungibile, e conservala con la configurazione, non in un thread di chat. Se una riga non ha un proprietario, è un rilievo.

Le righe che dicono solo “la VPN” non sono ancora righe. Una riga richiede il socket, l'host, l'identità e la destinazione, perché è questo che un revisore o un attaccante proverebbe.

Pianifica la dismissione prima che serva

Un tunnel che non puoi revocare è una porta permanente. Decidi in anticipo come ritirare una credenziale del dispositivo, terminare una sessione attiva e ripristinare l'accesso dopo che un aggiornamento rompe il servizio. Mantieni un percorso di ripristino che non passi dal tunnel, perché il tunnel è ciò che riparerai. Conservalo dove puoi raggiungerlo senza quella macchina.

La revisione è finita quando la destinazione prevista funziona e quelle indesiderate no. Non è una garanzia che non esista alcuna vulnerabilità, e l'etichetta verde di uno scanner non sostituisce nessuna delle due. Consegna la tabella e la nota di ripristino a chi erediterà la configurazione.