친구를 위한 가정용 VPN: 출구를 공유하고 LAN은 공유하지 마세요

친구가 당신의 가정 인터넷 연결을 통해 탐색할 수 있다는 말은 그가 당신의 가정 네트워크를 사용할 수 있다는 말과 같지 않으며, 이 두 문장 사이의 간격에는 NAS, 프린터, 라우터의 관리 페이지, 그리고 LAN에 있는 다른 모든 장치가 들어 있습니다. 각각의 방식에는 자체 전달 규칙이 필요합니다. 내가 듣는 공유 VPN 사고의 대부분은 이국적인 공격이 아니라, 어떤 경계를 사는지 아무도 적어 두지 않아서 게스트가 무언가에 도달한 경우입니다. 어떤 계약을 제공하는지 결정하고, 그것을 메시지가 아니라 전달 및 접근 정책으로 표현하세요.

똑같이 들리는 두 계약

인터넷 전용은 초대된 클라이언트의 트래픽이 당신의 연결을 통해 나가고 그 이상은 없다는 뜻입니다. 전체 접근은 같은 클라이언트가 당신의 로컬 네트워크에도 참여한다는 뜻이며, 그 두 번째 계약은 첫 번째를 조용히 포함하고, 사람들은 그렇게 그 안으로 흘러 들어갑니다. 차이는 몇 가지 전달 규칙으로 요약되며, 대역폭을 공유하는 것과 집을 공유하는 것의 차이이기도 합니다. 방화벽을 만지기 전에 계약을 적어 두세요. 나중에 추가한 규칙은 제거하는 것보다 정당화하기가 쉽기 때문입니다.

누군가 정말로 LAN 서비스가 필요하지 않다면 인터넷 전용 계약을 선택하세요. 한 번도 쓰지 않은 규칙은 한 번도 부여하지 않은 권한이기 때문입니다. 그다음 클라이언트 소프트웨어가 어떤 계약을 구현하는지 확인하세요. 전체 터널 기본값은 더 넓은 계약을 조용히 제공할 수 있습니다.

경계 하나: 가정 네트워크

게스트 트래픽은 가정 네트워크에서 아무 할 일이 없습니다. 별도의 VPN 서브넷이나 전용 호스팅 세그먼트를 쓰면 그 정책을 표현하기 쉬워지지만, 이름이 다르다고 해서 그 자체로 무언가를 강제하지는 않습니다. 실제로 패킷을 움직이는 장치를 지목하고 통과 규칙을 그곳에 두세요. 전달하지 않는 기계에 적힌 규칙은 장식일 뿐입니다. VPN이 라우터에서 실행될 때 그 적용 지점은 라우터 자체의 전달 체인입니다.

클라이언트 격리가 있는 게스트 네트워크는 합리적인 대안입니다. VPN 클라이언트가 실제로 그곳에 착륙한다는 조건에서요. 두 설계 모두 콘솔이 아니라 클라이언트에서 같은 시험을 해야 합니다.

경계 둘: 호스트와 다른 게스트

클라이언트에게는 VPN 서비스만 필요하고 그것을 실행하는 기계의 다른 무엇도 필요하지 않으므로 관리 접근은 별도의 권한으로 남습니다. 이것이 가장 자주 실수로 부여되는 권한입니다. 터널 수신기와 관리 인터페이스가 같은 상자에 있기 때문입니다. VPN이 라우터에서 종료된다면 터널 포트와 웹 또는 SSH 인터페이스는 서로 다른 대상이며 다른 규칙을 받을 자격이 있습니다. 로그인 페이지를 보호하는 규칙을 전달 금지로 읽어서는 안 됩니다.

인터넷 접근은 초대된 한 클라이언트가 다른 클라이언트에 도달하도록 허용할 것을 요구하지 않습니다. 원격 접근 풀은 달리 말하지 않는 한 공유 세그먼트처럼 행동하는 경우가 많으므로 풀 구성에서 결정을 명시하세요. 몇 명의 친구에게는 격리가 선택할 가치가 있는 기본값입니다.

규칙을 쓰기 전에 경로를 그려 보세요

독립형 장치는 감시할 두 개의 별도 패킷 집합을 가집니다. 그 자체에서 종료되는 것과 클라이언트를 대신해 중계하는 것입니다.CISA의 네트워크 지침은 인바운드, 아웃바운드, 네트워크 간 경로를 정당화가 필요한 접근으로 취급하며, 여기서 그것이 올바른 틀입니다. 가정 접두사를 실제 그대로 나열하세요. IPv4와 IPv6 모두입니다. IPv4만 막으면 IPv6도 라우팅하는 가정이 같은 경계에서 완전히 열린 채로 남기 때문입니다. 그다음 클라이언트가 DNS를 어떻게 얻는지, 리졸버 예외가 의도한 서비스만 노출하는지 결정하세요.

이것들은 보편적인 조리법이 아니라 요구 사항입니다. 규칙은 VPN이 어디서 종료되고 변환이 어디서 일어나는지에 달려 있기 때문입니다. 첫 브라우저 요청을 통과시키기 위해서만 넓은 허가를 추가하는 것은 피하세요.

무엇을 떠맡는지, 그리고 어떻게 시험할지

출구를 공유하면 운영 역할이 생깁니다. 서비스의 ID 모델을 통해 사람들을 초대하고,제거를 실용적으로 만들고, 호스트와 라우터를 유지 관리하며, 서비스가 당신의 업로드 중 얼마를 쓸 수 있는지 결정하세요. 요청은 당신의 주소에서 나가므로 사적인 장치가 건드려지지 않았더라도 불만과 평판 문제는 당신의 문에 도착합니다. 기술적 격리 설계는 법적 지위에 대해 아무 말도 하지 않으며, 트래픽을 흔한 웹 포트로 제한한다고 해서 허용된 모든 활동이 무해해지는 것은 아닙니다.

그다음 거부를 라우터 콘솔이 아니라 권한이 있는 클라이언트로 시험하세요. 다음 각각이 성립해야 합니다.

• 게스트 터널에서 인터넷 접근이 작동합니다.
• NAS와 프린터는 주소로도 이름으로도 거부됩니다.
• 터널 주소에서 라우터 관리는 거부됩니다.
• 두 번째 초대된 클라이언트에 도달할 수 없습니다.
• 클라이언트의 권한을 제거하면 실제로 접근이 끝납니다.

소유자가 그 경계와 운영 의무를 유지할 수 없다면, 구성 파일을 넘기는 것은 이 방식이 그에게 요구하는 것을 과소평가하는 것입니다. 그것이 이 서비스의 정직한 설명이며, 구성과 함께 여행하는 메시지에 속합니다.