Үй VPN-ін жариялау: шын мәнінде нені әшкерелейсіз

Сіз туннель үшін бір портты бағыттайсыз және өзгеріс шектеулі деп өзіңізге айтасыз. Іс жүзінде порт тек пакеттерді қабылдайды; оның артында тұрған нәрсе — әшкерелену. Бұл әшкереленуді үш нәрсе анықтайды: ашық жақта тыңдайтын сокет, туннель қабылдайтын сәйкестік және сол сәйкестік жете алатын межелер. Әрқайсысына өз жауабы керек, өйткені біреуіндегі ұқыпты таңдау басқаларын шектемейді.

Портты бағыттау қызмет емес

Маршрутизатор ережесі пакеттерді хостқа қарай жылжытады; ол оларды оқитын процесті атамайды. Бағыттау беті мен тыңдайтын сокет әр жерде тұрады, сондықтан ереже қызметті енді іске қоспайтын машинаға нұсқауы мүмкін. Шын мәнінде не жауап беретінін білу үшін хостқа қараңыз: ss -lntup әрбір тыңдайтын сокетті оған ие процеспен бірге тізімдейді. Содан кейін сол процесті құрамдас бөлікке, нұсқаға және иесіне сәйкестендіріңіз.

Жасағаныңызды есте сақтаған ережені жою есікті жаппайды. UPnP картасы өзін қосып қоюы мүмкін, IPv4 жазбасы кеткеннен кейін IPv6 мекенжайы қолжетімді болып қалуы мүмкін, ал екінші жариялау әдісі басқа машинада болуы мүмкін. Маршрутизатордың UPnP карталар тізімін және оның статикалық жазбаларын оқып, содан кейін желіден тыс сынап көріңіз.

Кіру LAN рұқсаты емес

Туннель кімнің қосыла алатынын шешеді; ресурстар қосылған клиенттің нені аша алатынын шешеді. NIST-тің нөлдік сенім нұсқаулығы желі ауқымында дәл осындай бөлу жасайды: мекенжай рұқсат туралы ештеңе дәлелдемейді. Бір тіркелген ноутбукке бір тапсырма беріңіз, мысалы аталған хосттағы файл бөлісімін оқу, және сол жұпты жазып қойыңыз. Туннель мекенжайы үйдің қалған бөлігіне әкімшілік қатынасты мұрагерлікпен алуы керек емес.

Түйіндеме өткізіп жіберетін жолдарды да тексеріңіз: клиенттен клиентке трафик, көпір мүшелігі, интернетке бағыттау және көзді аудару. Әрқайсысы сіздің жазбаша тапсырмаңыз ешқашан атамайтын екі жүйені қосуы мүмкін. Тапсырмаға қажет еместерін өшіріп, содан кейін клиент әлі қайда жете алатынын тізімдеңіз.

Таза скандау өте азды дәлелдейді

Ашық порт бір мекенжай мен бір протокол туралы факт; сәтті кіру бір тіркелгі деректері туралы факт. Екеуі де келесі не болатынын айтпайды. Мақсатты хостта мақсатты әрекетті сынап көріңіз, содан кейін ешқашан тіркелмеген сәйкестікті, ешкім мақұлдамаған қызметті және жеке болып қалуы тиіс басқару интерфейсін көріңіз. Соңғы сынақ әдетте сәтсіз болады.

Екі мекенжай тобын және жариялайтын әрбір жолды сынаңыз. IPv4 мекенжайын сканерлеу тыңдап тұрған IPv6 қызметі туралы ештеңе айтпайды, ал ішкі сынақ NAT кері ілмегі мәселесін немесе жоғары ағын сүзгісін көре алмайды. Кемінде бір тексеруді сырттан, сол маршрутизатор арқылы қайтпайтын қосылымда орындаңыз.

Әшкереленуді жазып қойыңыз

Қысқа кесте шолуды келесі адам аудиттей алатын нәрсеге айналдырады. Оны сырттан ішке қарай толтырыңыз, әрбір қолжетімді қызметке бір жол, және оны конфигурациямен бірге сақтаңыз, чат ағынында емес. Егер жолдың иесі болмаса, бұл қорытынды.

Тек “VPN” дейтін жолдар әлі жол емес. Жолға сокет, хост, сәйкестік және меже керек, өйткені аудитор немесе шабуылдаушы дәл соны сынайды.

Қажет болмай тұрып шығаруды жоспарлаңыз

Кері қайтара алмайтын туннель — тұрақты есік. Құрылғы тіркелгісін қалай қайтарып алуды, белсенді сессияны қалай аяқтауды және жаңарту қызметті бұзғаннан кейін қатынасты қалай қалпына келтіруді алдын ала шешіңіз. Туннель арқылы өтпейтін қалпына келтіру жолын ұстаңыз, өйткені туннель — сіз жөндейтін нәрсе. Оны сол машинасыз жете алатын жерде сақтаңыз.

Шолу мақсатты меже жұмыс істеп, қажет еместері істемегенде аяқталады. Бұл осалдық жоқ деген кепілдік емес, және сканердің жасыл белгісі екеуінің ешбірін алмастырмайды. Кестені және қалпына келтіру жазбасын бұл конфигурацияны мұрагерлікпен алатын адамға беріңіз.