Достарға арналған үй VPN-і: шығуды бөлісіңіз, LAN-ды емес

Досыңыз сіздің үй байланысы арқылы шолу жасай алады деу, ол сіздің үй желіңізді пайдалана алады деумен бірдей емес, және осы екі сөйлемнің арасындағы алшақтық NAS-ты, принтерлерді, маршрутизатордың әкімшілік бетін және LAN-дағы барлық басқа құрылғыларды қамтиды. Әр келісімге өзінің жіберу ережелері қажет. Мен еститін ортақ VPN оқиғаларының көбісі экзотикалық шабуылдар емес; бұл қонақтың бір нәрсеге жетуі, өйткені қай шекара сатып алынып жатқанын ешкім жазбаған. Қандай шарт ұсынатыныңызды шешіп, оны хабарламада емес, жіберу және қатынас саясатында білдіріңіз.

Бірдей естілетін екі шарт

Тек интернет дегеніміз шақырылған клиенттің трафигі сіздің байланысыңыз арқылы шығады және одан әрі ештеңе жоқ. Толық қатынас дегеніміз сол клиент сіздің жергілікті желіңізге де қосылады, және бұл екінші шарт біріншісін үнсіз қамтиды, адамдар осылайша оған сырғып кетеді. Айырмашылық бірнеше жіберу ережесіне саяды, және бұл өткізу қабілетін бөлісу мен үйді бөлісудің айырмашылығы да. Өрт қабырғасына қол тигізбес бұрын шартты жазып қойыңыз, өйткені кейін қосылған ережені ақтау оны жоюдан оңай.

Тек интернет шартын таңдаңыз, егер біреуге шынымен LAN қызметі қажет болмаса, өйткені ешқашан жазбаған ереже — ешқашан бермеген рұқсат. Содан кейін клиент бағдарламасы қай шартты жүзеге асыратынын тексеріңіз, өйткені толық туннельдің әдепкі мәні кеңірек нұсқаны үнсіз бере алады.

Бірінші шекара: үй желісі

Қонақ трафигінің үй желілерінде ешқандай шаруасы жоқ. Бөлек VPN ішкі желісі немесе арнайы хостинг сегменті бұл саясатты білдіруді жеңілдетеді, бірақ басқа атау өздігінен ештеңені мәжбүрлемейді. Пакеттерді шынымен жылжытатын құрылғыны атап, өту ережелерін сонда ұстаңыз, өйткені жібермейтін машинада жазылған ереже — әшекей. VPN маршрутизаторда жұмыс істегенде, бұл орындау нүктесі маршрутизатордың өз жіберу тізбегі.

Клиенттерді оқшаулауы бар қонақ желісі — ақылға қонымды балама, егер VPN клиенттері шынымен соған қонатын болса. Екі жоба да консольден емес, клиенттен бірдей сынақты қажет етеді.

Екінші шекара: хост және басқа қонақтар

Клиенттерге VPN қызметі керек және оны іске қосатын машинада басқа ештеңе қажет емес, сондықтан басқару қатынасы бөлек рұқсат болып қалады. Дәл осы жиі кездейсоқ беріледі, өйткені туннель тыңдаушысы мен әкімшілік интерфейсі бір қорапта. Егер VPN маршрутизаторда аяқталса, туннель порты мен веб немесе SSH интерфейсі бөлек субъектілер және бөлек ережелерге лайық. Кіру бетін қорғайтын ережені ешқашан жіберуге тыйым ретінде оқуға болмайды.

Интернетке қатынас та бір шақырылған клиенттің екіншісіне жетуіне рұқсат беруді талап етпейді. Қашықтан қатынас пулдары өзгеше айтпасаңыз, ортақ сегмент сияқты әрекет етеді, сондықтан шешімді пул конфигурациясында айқын етіңіз. Бірнеше дос үшін оқшаулау — таңдауға тұрарлық әдепкі.

Ережелерді жазбас бұрын жолдарды картаға түсіріңіз

Дербес құрылғының бақылауға арналған пакеттердің екі бөлек жиыны бар: оның үстінде аяқталатындары және ол клиент атынан жіберетіндері. CISA желілік нұсқаулықтары кіріс, шығыс және желіаралық жолдарды негіздеуді қажет ететін қатынас ретінде қарастырады, және бұл мұнда дұрыс шеңбер. Үй префикстерін шын мәнінде қандай болса, солай тізіңіз, IPv4 және IPv6 екеуін де, өйткені тек IPv4-ті бөгейтін ереже IPv6-ны да маршруттайтын үйді сол шекарада толық ашық қалдырады. Содан кейін клиенттердің DNS-ті қалай алатынын және шешушінің қандай да бір ерекшелігі тек көзделген қызметті ашатынын шешіңіз.

Бұлар талаптар, әмбебап рецепт емес, өйткені ережелер VPN қайда аяқталатынына және аударма қайда болатынына байланысты. Тек бірінші браузер сұранысы сәтті болуы үшін кең рұқсат қосудың алдын алыңыз.

Нені мойныңызға аласыз және оны қалай тексеру керек

Шығуды бөлісу операциялық рөл туғызады. Адамдарды қызметтің сәйкестік моделі арқылы шақырыңыз, жоюды практикалық етіңіз, хост пен маршрутизаторды күтіп ұстаңыз және қызмет сіздің жүктеуіңіздің қаншасын пайдалана алатынын шешіңіз. Сұраныстар сіздің мекенжайыңыздан шығады, сондықтан шағымдар мен бедел мәселелері жеке құрылғыға қол тигізілмесе де сіздің есігіңізге келеді. Техникалық оқшаулау жобасы құқықтық жағдай туралы ештеңе айтпайды, ал трафикті кәдімгі веб порттармен шектеу әр рұқсат етілген әрекетті зиянсыз етпейді.

Содан кейін бас тартуларды маршрутизатор консолінен емес, уәкілетті клиенттен тексеріңіз. Төмендегілердің әрқайсысы орындалуы керек:

• Интернетке қатынас қонақ туннелінен жұмыс істейді.
• NAS пен принтерлер мекенжай бойынша және атау бойынша қабылданбайды.
• Маршрутизатор әкімшілігі туннель мекенжайынан қабылданбайды.
• Екінші шақырылған клиентке қол жеткізу мүмкін емес.
• Клиенттің рұқсатын жою қатынасты шынымен тоқтатады.

Егер иесі бұл шекараларды және операциялық міндеттерді ұстай алмаса, конфигурация файлын тапсыру бұл келісімнің одан талап ететінін төмендетеді. Бұл қызметтің адал сипаттамасы және ол конфигурациямен бірге жүретін хабарламаға тиесілі.