En Heem-VPN verëffentlechen: wat Dir tatsächlech aussetzt
Dir hutt een Port opgemaach, net een Service. Iwwerpréift den ëffentleche Lauschterer, dee akzeptéierte Client an déi privat Ressourcen getrennt, ier Dir Iech op den Tunnel verloosst.
Dir leet een Port fir den Tunnel weider a sot Iech, datt d'Ännerung begrenzt ass. An der Praxis loosse sech duerch de Port nëmme Pakete; wat hannendrun steet, ass d'Expositioun. Dräi Saachen entscheeden dës Expositioun: de Socket, deen op der ëffentlecher Säit lauschtert, d'Identitéit, déi den Tunnel akzeptéiert, an d'Destinatiounen, déi dës Identitéit duerno erreeche kann. Jiddweree brauch seng eege Äntwert, well eng virsiichteg Wiel an engem déi aner net aschränkt.
Eng Portweiderleitung ass keen Service
Eng Routerregel beweegt Pakete Richtung Host; si nennt net de Prozess, deen se liest. D'Weiderleitungssäit an de lauschterende Socket liewen op verschiddene Plazen, dofir kann eng Regel op eng Maschinn weisen, déi de Service net méi ausféiert. Fir erauszefannen, wat tatsächlech äntwert, kuckt op den Host: ss -lntup lëscht all lauschterende Socket mat dem Prozess, deem en gehéiert. Passt duerno dee Prozess un eng Komponent, eng Versioun an en Eegentemer un.
D'Regel ze läschen, un déi Dir Iech erënnert, si erstallt ze hunn, mécht d'Dier net zou. Eng UPnP-Mapping huet sech vläicht selwer bäigefüügt, eng IPv6-Adress ka erreechbar bleiwen, nodeems den IPv4-Andrag fort ass, an eng zweet Verëffentlechungsmethod ka op enger anerer Maschinn existéieren. Liest d'UPnP-Mappinglëscht vum Router an seng statesch Andräg, a test duerno vun ausserhalb vum Netz.
Eng Umeldung ass keng LAN-Berechtegung
Den Tunnel entscheet, wien sech ka verbannen; d'Ressourcen entscheeden, wat e verbonnene Client kann opmaachen. Dem NIST seng Zero-Trust-Richtlinn mécht déi selwecht Trennung am Netzausmooss: eng Adress beweist näischt iwwer d'Autorisatioun. Gitt engem registréierte Laptop eng Aufgab, zum Beispill eng Dateifreigab op engem benannten Host liesen, a schreift dëst Paar op. Eng Tunneladress sollt keen Administrateurzougang zum Rescht vum Haus ierwen.
Iwwerpréift och d'Weeër, déi eng Zesummefaassung ausléisst: Client-zu-Client-Trafic, Bréckmemberschaft, Internetweiderleitung an Quellübersetzung. Jiddweree kann zwee Systemer verbannen, déi Är schrëftlech Aufgab ni ernimmt. Schalt déi aus, déi d'Aufgab net brauch, a lëscht duerno, wou de Client nach erreeche kann.
En proppere Scan beweist ganz wéineg
En oppene Port ass eng Tatsaach iwwer eng Adress an ee Protokoll; eng erfollegräich Umeldung ass eng Tatsaach iwwer ee Berechtegung. Keent vun deenen zwee seet, wat duerno geschitt. Test d'virgesinn Operatioun op dem virgesinnten Host, probéier duerno eng Identitéit, déi ni registréiert gouf, e Service, deen keen approuvéiert huet, an d'Verwaltungsinterface, déi privat sollt bleiwen. Den leschte Test ass normalerweis deen, deen feelt.
Test béid Adressfamilljen an all Wee, deen Dir verëffentlecht. E Scan vun der IPv4-Adress seet näischt iwwer e lauschterende IPv6-Service, an en internen Test kann e NAT-Loopback-Problem oder e Filter uewendriwwer net gesinn. Fuert op d'mannst eng Kontroll vun dobaussen duerch, op enger Verbindung, déi net duerch dee selwechte Router zréckkënnt.
Schreift d'Expositioun op
Eng kuerz Tabell mécht d'Iwwerpréifung zu eppes, wat déi nächst Persoun ka auditoren. Fëllt se vun dobaussen no bannen, eng Zeil pro erreechbare Service, a haalt se bei der Konfiguratioun, net an engem Chatthread. Wann eng Zeil keen Eegentemer huet, ass dat e Befund.
| Public address and port | Receiving host | Process on the socket | Intended actor | Who may reach it |
|---|---|---|---|---|
| 203.0.113.10:51820 | nas | wg-quick@wg0 | my laptop | enrolled peers only |
Zeilen, déi nëmmen “den VPN” soen, sinn nach keng Zeilen. Eng Zeil brauch de Socket, den Host, d'Identitéit an d'Destinatioun, well dat ass, wat en Auditor oder en Ugräifer testen.
Plangt d'Ausschaltung, ier Dir se braucht
En Tunnel, deen Dir net ka widderruffen, ass eng permanent Dier. Entscheet virdrun, wéi Dir eng Apparatsberechtegung zréckzitt, eng aktiv Sitzung beendet an den Zougang restauréiert, nodeems en Upgrade de Service briicht. Halt e Recuperatiounswee, deen net duerch den Tunnel geet, well den Tunnel ass dat, wat Dir wäert reparéieren. Späichert en do, wou Dir en ouni déi Maschinn erreeche kënnt.
D'Iwwerpréifung ass fäerdeg, wann d'virgesinnt Destinatioun funktionnéiert an déi ongewollt net. Et ass keng Garantie, datt et keng Schwachstell gëtt, an en gréngen Etikett vun engem Scanner ersetzt keent vun deenen zwee. Gitt d'Tabell an d'Recuperatiounsnotiz un dejenegen, deen d'Setup ierft.