Heem-VPN fir Frënn: deelt den Ausgang, net de LAN

Ze soen, e Frënd däerf iwwer deng Heemverbindung surfen, ass net datselwecht wéi ze soen, hie däerf däin Heemnetzwierk benotzen, an de Spalt tëscht dësen zwou Sätz enthält den NAS, d'Drécker, d'Admin-Säit vum Router an all aner Apparat am LAN. All Arrangement brauch seng eege Forwarding-Reegelen. Déi meescht Virfäll mat gedeelte VPN, vun deenen ech héieren, sinn net exotesch Attacken; et ass e Gäscht, deen eppes erreecht huet, well keen opgeschriwwen huet, wéi eng Grenz kaaft gëtt. Entscheet, wéi ee Kontrakt dir ubitt, a dréckt en dann an der Forwarding- an Zougangspolitik aus, net an enger Noriicht.

Zwee Kontrakter, déi d'selwecht kléngen

Nëmmen Internet heescht, de Verkéier vum invitéierte Client geet duerch deng Verbindung eraus an näischt weider. Vollen Zougang heescht, deeselwechte Client trëtt och dengem lokalen Netzwierk bäi, an deen zweeten Kontrakt enthält deen éischten stille, an esou rutschen d'Leit eraf. Den Ënnerscheed geet op eng Handvoll Forwarding-Reegelen erof, an et ass och den Ënnerscheed tëscht Bandbreed deelen an en Haus deelen. Schreift de Kontrakt op, ier dir d'Firewall beréiert, well eng Reegel, déi dir duerno bäisetzt, ass méi einfach ze justifiéieren wéi ewechzehuelen.

Wielt de Kontrakt nëmmen Internet, ausser een brauch wierklech en LAN-Service, well eng Reegel, déi dir ni geschriwwen hutt, ass eng Erlaabnis, déi dir ni ginn hutt. Kuckt duerno, wéi ee Kontrakt d'Client-Software ëmsetzt, well e Standard mat vollem Tunnel dee méi breeden stille liwwere kann.

Grenz eng: den Heemnetzwierk

Gäschteverkéier huet iwwerhaapt näischt an den Heemnetzwierker ze sichen. En eegene VPN-Subnetz oder en dedizéierte Hosting-Segment mécht déi Politik méi einfach auszedrécken, awer den aneren Numm forcéiert vu sech aus näischt. Nennt den Apparat, deen d'Pakete wierklech beweegt, a haalt d'Kräizungsreegelen do, well eng Reegel op enger Maschinn, déi net forwardet, ass Dekoratioun. Wann de VPN um Router leeft, ass deen Duerchsetzungspunkt dem Router seng eege Forwarding-Kette.

En Gäschtenetzwierk mat Client-Isolatioun ass eng raisonnabel Alternativ, wann d'VPN-Cliente wierklech drop landen. Béid Designe brauchen deeselwechte Test vun engem Client a net vun der Konsole.

Grenz zwee: den Host an déi aner Gäscht

Clienten brauchen de VPN-Service an näischt anescht op der Maschinn, déi en ausféiert, dofir bleift de Verwaltungszougang eng separat Erlaabnis. Et ass deen, deen am heefegsten duerch Ongléck ginn gëtt, well de Tunnel-Listener an d'Administratiounsinterface um selwechte Këscht sëtzen. Wann de VPN um Router ophält, sinn den Tunnelport an d'Web- oder SSH-Interface verschidde Sujeten a verdéngen verschidde Reegelen. Eng Reegel, déi eng Loginsäit schützt, soll ni als Verbuet vum Forwarding gelies ginn.

Internet-Zougang verlaangt och net, datt een invitéierte Client en aneren erreecht. Remote-Zougangspools behuelen sech dacks wéi en gedeelte Segment, ausser dir sot anescht, also maacht d'Entscheedung an der Pool-Konfiguratioun explizit. Fir eng Handvoll Frënn ass Isolatioun de Standard, deen et wäert ass ze wielen.

Kartéiert d'Weeër, ier dir Reegelen schreift

En autonomen Apparat huet zwee getrennte Sätz Pakete fir ze iwwerwaachen: déi, déi drop ophalen, an déi, déi en am Numm vun engem Client weiderleet. Dem CISA seng Netzwierkrichtlinnen behandelen ënner anerem erakommend, erausgoend an tëschent Netzwierker Weeër als Zougang, dee Rechtfertegunge brauch, an dat ass hei de richtege Kader. Lëscht d'Heempräfixe sou wéi se wierklech sinn, IPv4 an IPv6 allebéid, well e Block just fir IPv4 en Haus, dat och IPv6 routet, op der selwechter Grenz komplett oppe léisst. Duerno entscheet, wéi Clienten DNS kréien an ob eng Ausnam vum Resolver just dee virgesinn Service aussetzt.

Dëst sinn Ufuerderungen an net eng universell Rezept, well d'Reegelen dovun ofhänken, wou de VPN ophält a wou d'Iwwersetzung geschitt. Vermeit eng breet Erlaabnis just doduerch bäizesetzen, datt déi éischt Browser-Ufro geléngt.

Wat dir iwwerhëlt, a wéi een et test

En Ausgang deelen schaaft eng operationell Roll. Invitéiert Leit iwwer dem Service säin Identitéitsmodell, maacht d'Ewechhuelen praktesch, haalt den Host an de Router ënnerhalen, an entscheet, wéi vill vun Ärem Upload de Service benotze kann. Ufroe ginn vun Ärer Adress aus, dofir komme Reklamatiounen a Reputatiounsproblemer un Är Dier, och wann keen privaten Apparat beréiert gouf. En techneschen Isolatiounsdesign seet näischt iwwer d'juristesch Positioun, an de Verkéier op üblech Webporten ze beschränken mécht net all erlaabt Aktivitéit harmlos.

Test duerno d'Refusen mat engem autoriséierte Client an net vun der Router-Konsole. All dat Folgendes muss gëllen:

• Internet-Zougang funktionéiert aus dem Gäscht-Tunnel.
• NAS an Drécker ginn no Adress a no Numm refuséiert.
• D'Router-Administratioun gëtt vun der Tunneladress refuséiert.
• En zweeten invitéierte Client ass net erreechbar.
• D'Erlaabnis vum Client ewechzehuelen beendet wierklech den Zougang.

Wann de Besëtzer déi Grenzen an d'operationell Flichte net ka behalen, ënnerschätzt d'Iwwerleeë vun enger Konfiguratiounsdatei, wat d'Arrangement vun him verlaangt. Dat ass déi éierlech Beschreiwung vum Service, an et gehéiert an d'Noriicht, déi mat der Konfiguratioun reest.