სახლის VPN მეგობრებისთვის: გააზიარეთ გასასვლელი, არა LAN

იმის თქმა, რომ მეგობარს შეუძლია დაათვალიეროს თქვენი სახლის კავშირით, არ ნიშნავს იმას, რომ მას შეუძლია გამოიყენოს თქვენი სახლის ქსელი, და ამ ორ წინადადებას შორის სივრცე მოიცავს NAS-ს, პრინტერებს, როუტერის ადმინისტრირების გვერდს და LAN-ის ყველა სხვა მოწყობილობას. თითოეულ შეთანხმებას საკუთარი გადამისამართების წესები სჭირდება. საზიარო VPN-ის შემთხვევების უმეტესობა, რომლებზეც მესმის, ეგზოტიკური თავდასხმები არ არის; ეს არის სტუმარი, რომელმაც რაღაცას მიაღწია, რადგან არავის დაუწერია, რომელი საზღვარი იყიდება. გადაწყვიტეთ, რომელ კონტრაქტს გთავაზობთ, შემდეგ გამოხატეთ იგი გადამისამართებისა და წვდომის პოლიტიკაში და არა შეტყობინებაში.

ორი კონტრაქტი, რომლებიც ერთნაირად ჟღერს

მხოლოდ ინტერნეტი ნიშნავს, რომ მოწვეული კლიენტის ტრაფიკი გადის თქვენი კავშირით და მეტი არაფერი. სრული წვდომა ნიშნავს, რომ იგივე კლიენტი უერთდება თქვენს ლოკალურ ქსელსაც, და ეს მეორე კონტრაქტი ჩუმად მოიცავს პირველს, და ასე სრიალდებიან ადამიანები მასში. განსხვავება რამდენიმე გადამისამართების წესამდე მოდის და ეს ასევე განსხვავებაა სიჩქარის გაზიარებასა და სახლის გაზიარებას შორის. ჩაწერეთ კონტრაქტი სანამ ფაილურ კედელს შეეხებით, რადგან მოგვიანებით დამატებული წესის გამართლება უფრო ადვილია, ვიდრე წაშლა.

აირჩიეთ მხოლოდ ინტერნეტის კონტრაქტი, თუ ვინმეს ნამდვილად არ სჭირდება LAN-ის სერვისი, რადგან წესი, რომელიც არასოდეს დაგიწერიათ, არის ნებართვა, რომელიც არასოდეს მიგიციათ. შემდეგ შეამოწმეთ, რომელ კონტრაქტს ახორციელებს კლიენტის პროგრამა, რადგან სრული გვირაბის ნაგულისხმევი შეიძლება ჩუმად მოგცეთ უფრო ფართო.

საზღვარი პირველი: სახლის ქსელი

სტუმრის ტრაფიკს სახლის ქსელებში საერთოდ არაფერი აქვს საქმე. ცალკე VPN ქვექსელი ან გამოყოფილი ჰოსტინგის სეგმენტი აადვილებს ამ პოლიტიკის გამოხატვას, მაგრამ სხვა სახელი თავისთავად არაფერს ახდენს. დაასახელეთ მოწყობილობა, რომელიც რეალურად მოძრაობს პაკეტებს და გადაკვეთის წესები იქ შეინახეთ, რადგან არაგადამისამართებელ მანქანაზე დაწერილი წესი მხოლოდ დეკორაციაა. როცა VPN როუტერზე მუშაობს, ეს აღსრულების წერტილი თავად როუტერის გადამისამართების ჯაჭვია.

კლიენტების იზოლაციის მქონე სტუმრის ქსელი გონივრული ალტერნატივაა, იმ პირობით, რომ VPN კლიენტები ნამდვილად დაეშვებიან მასზე. ორივე დიზაინს სჭირდება იგივე ტესტი კლიენტიდან და არა კონსოლიდან.

საზღვარი მეორე: ჰოსტი და სხვა სტუმრები

კლიენტებს სჭირდებათ VPN სერვისი და სხვა არაფერი იმ მანქანაზე, რომელიც მას უშვებს, ამიტომ მართვის წვდომა რჩება ცალკე ნებართვად. სწორედ ეს გაიცემა ყველაზე ხშირად შემთხვევით, რადგან გვირაბის მსმენელი და ადმინისტრირების ინტერფეისი ერთ ყუთზეა. თუ VPN როუტერზე სრულდება, გვირაბის პორტი და ვებ ან SSH ინტერფეისი სხვადასხვა სუბიექტია და სხვადასხვა წესს იმსახურებს. შესვლის გვერდის დამცავი წესი არასოდეს უნდა წაიკითხოს გადამისამართების აკრძალვად.

ინტერნეტზე წვდომა ასევე არ მოითხოვს ერთი მოწვეული კლიენტის მეორემდე მისვლის დაშვებას. დისტანციური წვდომის პულები ხშირად იქცევიან როგორც საერთო სეგმენტი, თუ სხვაგვარად არ იტყვით, ამიტომ გადაწყვეტილება გამოკვეთეთ პულის კონფიგურაციაში. რამდენიმე მეგობრისთვის იზოლაცია არის ნაგულისხმევი, რომლის არჩევაც ღირს.

დახაზეთ მარშრუტები წესების დაწერამდე

დამოუკიდებელ მოწყობილობას აქვს პაკეტების ორი ცალკე ნაკრები მისახედად: ისინი, რომლებიც მასზე სრულდება, და ისინი, რომლებსაც ის კლიენტის სახელით გადასცემს. CISA-ის ქსელური მითითებები შემომავალ, გამავალ და ქსელთაშორის მარშრუტებს განიხილავს როგორც დასაბუთებას მოთხოვნილ წვდომას, და ეს არის აქ სწორი ჩარჩო. ჩამოთვალეთ სახლის პრეფიქსები ისე, როგორც სინამდვილეშია, IPv4 და IPv6 ორივე, რადგან მხოლოდ IPv4-ის დაბლოკვა ტოვებს სახლს, რომელიც IPv6-საც მარშრუტიზებს, სრულიად ღიად იმავე საზღვარზე. შემდეგ გადაწყვიტეთ, როგორ იღებენ კლიენტები DNS-ს და ხსნის თუ არა რომელიმე გამხსნელის გამონაკლისი მხოლოდ განკუთვნილ სერვისს.

ეს მოთხოვნებია და არა უნივერსალური რეცეპტი, რადგან წესები დამოკიდებულია იმაზე, სად მთავრდება VPN და სად ხდება თარგმნა. მოერიდეთ ფართო ნებართვის დამატებას მხოლოდ იმისთვის, რომ ბრაუზერის პირველი მოთხოვნა წარმატებული იყოს.

რას იღებთ საკუთარ თავზე და როგორ შეამოწმოთ

გასასვლელის გაზიარება ქმნის ოპერაციულ როლს. მოიწვიეთ ადამიანები სერვისის იდენტობის მოდელით, გახადეთ წაშლა პრაქტიკული, მოაწყვეთ ჰოსტისა და როუტერის მოვლა და გადაწყვიტეთ, თქვენი ატვირთვის რამდენი ნაწილი შეიძლება გამოიყენოს სერვისმა. მოთხოვნები თქვენი მისამართიდან გადის, ამიტომ საჩივრები და რეპუტაციის პრობლემები თქვენს კართან მოდის, თუნდაც არცერთ კერძო მოწყობილობას არ შეხებია. ტექნიკური იზოლაციის დიზაინი არაფერს ამბობს სამართლებრივ მდგომარეობაზე, და ტრაფიკის ჩვეულებრივ ვებ პორტებზე შეზღუდვა არ ხდის ყოველ ნებადართულ საქმიანობას უვნებელს.

შემდეგ შეამოწმეთ უარყოფები უფლებამოსილი კლიენტით და არა როუტერის კონსოლიდან. ქვემოთ ჩამოთვლილთაგან თითოეული უნდა სრულდებოდეს:

• ინტერნეტზე წვდომა მუშაობს სტუმრის გვირაბიდან.
• NAS და პრინტერები უარყოფილია მისამართით და სახელით.
• როუტერის ადმინისტრირება უარყოფილია გვირაბის მისამართიდან.
• მეორე მოწვეული კლიენტი მიუწვდომელია.
• კლიენტის ავტორიზაციის მოხსნა ნამდვილად აჩერებს წვდომას.

თუ მესაკუთრე ვერ შეინარჩუნებს ამ საზღვრებსა და ოპერაციულ მოვალეობებს, კონფიგურაციის ფაილის გადაცემა ამცირებს იმას, რასაც ეს შეთანხმება მისგან ითხოვს. ეს არის სერვისის გულახდილი აღწერა და ის ეკუთვნის იმ შეტყობინებას, რომელიც კონფიგურაციასთან ერთად მოგზაურობს.