友人のための家庭用VPN：出口を共有し、LANは共有しない

友人が自宅の回線を通じて閲覧できると言うことは、友人が自宅のネットワークを使えると言うことと同じではなく、その二つの文の間には NAS、プリンター、ルーターの管理ページ、そして LAN 上の他のすべての機器が含まれています。取り決めごとに独自の転送ルールが必要です。私が耳にする共有 VPN の事故のほとんどは珍しい攻撃ではなく、どの境界が買われるのか誰も書き留めなかったために、ゲストが何かに到達してしまったというものです。どの契約を提供するのかを決め、それをメッセージではなく転送とアクセスのポリシーで表現してください。

同じに聞こえる二つの契約

インターネットのみとは、招待されたクライアントの通信があなたの回線から外へ出て、それ以上は何もしないという意味です。フルアクセスとは、同じクライアントがあなたのローカルネットワークにも参加するという意味で、その二つ目の契約は一つ目を黙って含んでおり、人々はそうやってそこへ流れ込みます。違いはいくつかの転送ルールに帰着し、それは帯域幅を共有することと家を共有することの違いでもあります。ファイアウォールに触れる前に契約を書き留めてください。後から追加するルールは、削除するよりも正当化しやすいからです。

本当に LAN のサービスを必要とする人がいない限り、インターネットのみの契約を選んでください。決して書かなかったルールは、決して与えなかった許可だからです。次に、クライアントソフトウェアがどちらの契約を実装しているかを確認してください。フルトンネルの既定値は、より広い契約を静かに提供することがあります。

境界その一：家庭のネットワーク

ゲストの通信は家庭のネットワーク上で何の用もありません。別の VPN サブネットや専用のホスティングセグメントを使えばそのポリシーを表現しやすくなりますが、名前が違うだけでは何も強制できません。実際にパケットを動かす機器を名指しし、通過ルールはそこに置いてください。転送しない機械に書かれたルールは飾りです。VPN がルーター上で動く場合、その適用点はルーター自身の転送チェーンです。

クライアント分離を備えたゲストネットワークは妥当な代替案です。ただし VPN クライアントが実際にそこに着地することが条件です。どちらの設計も、コンソールからではなくクライアントから同じテストを行う必要があります。

境界その二：ホストと他のゲスト

クライアントに必要なのは VPN サービスだけで、それを動かす機械上の他のものは不要なので、管理アクセスは別の許可のままにします。これが最もよく事故で与えられる許可です。トンネルのリスナーと管理インターフェースが同じ箱の上にあるからです。VPN がルーターで終端する場合、トンネルのポートと Web や SSH のインターフェースは別の対象であり、別のルールに値します。ログインページを守るルールを、転送の禁止と読むべきではありません。

インターネットへのアクセスは、招待したクライアント同士が互いに到達できるようにすることを要求しません。リモートアクセスのプールは、特に断らない限り共有セグメントのように振る舞うことが多いので、プールの設定で判断を明示してください。数人の友人にとっては、分離が選ぶ価値のある既定値です。

ルールを書く前に経路を描く

単体のアプライアンスには、監視すべきパケットの組が二つあります。それ自体で終端するものと、クライアントの代理として転送するものです。CISA のネットワーク指針は、受信・送信・ネットワーク間の経路を正当化を要するアクセスとして扱っており、ここではそれが正しい枠組みです。家庭のプレフィックスを実際のまま列挙してください。IPv4 と IPv6 の両方です。IPv4 だけを塞ぐと、IPv6 もルーティングしている家庭は同じ境界で完全に開いたままになるからです。次に、クライアントが DNS をどう得るか、リゾルバーの例外が意図したサービスだけを公開するかを決めてください。

これらは普遍的なレシピではなく要件です。ルールは VPN がどこで終端し、どこで変換が行われるかに依存するからです。最初のブラウザー要求を通すためだけに、広い許可を追加するのは避けてください。

何を引き受けるのか、そしてどう試すのか

出口を共有することは運用上の役割を生みます。サービスの ID モデルを通じて人を招待し、削除を実用的にし、ホストとルーターを保守し、アップロードのどれだけをサービスが使えるかを決めてください。要求はあなたのアドレスから出るので、私的な機器に触れていなくても苦情や評判の問題はあなたのところに届きます。技術的な分離設計は法的立場について何も言いませんし、通信を一般的な Web ポートに制限しても、許可されたすべての行為が無害になるわけではありません。

次に、拒否をルーターのコンソールからではなく、認可されたクライアントで試してください。次のすべてが成り立つはずです。

• ゲストトンネルからインターネットにアクセスできる。
• NAS とプリンターはアドレスでも名前でも拒否される。
• ルーターの管理はトンネルのアドレスから拒否される。
• 二番目に招待したクライアントには到達できない。
• クライアントの認可を外すと、実際にアクセスが終わる。

所有者がそれらの境界と運用上の務めを維持できないなら、設定ファイルを渡すことは、この取り決めがその人に求めていることを過小評価しています。それがこのサービスの正直な説明であり、設定とともに旅するメッセージに属します。