Namų VPN draugams: bendrinkite išėjimą, o ne LAN

Pasakyti, kad draugas gali naršyti per jūsų namų ryšį, nėra tas pats, kas pasakyti, kad jis gali naudotis jūsų namų tinklu, ir tarpas tarp šių dviejų sakinių apima NAS, spausdintuvus, maršrutizatoriaus administravimo puslapį ir visus kitus LAN įrenginius. Kiekvienai tvarkai reikia savo persiuntimo taisyklių. Dauguma mano girdimų bendro VPN incidentų nėra egzotiškos atakos; tai svečias, kuris kažką pasiekė, nes niekas neužrašė, kokia riba perkama. Nuspręskite, kokią sutartį siūlote, tada išreikškite ją persiuntimo ir prieigos politikoje, o ne žinutėje.

Dvi sutartys, kurios skamba vienodai

Tik internetas reiškia, kad pakviesto kliento srautas išeina per jūsų ryšį ir nieko daugiau. Visa prieiga reiškia, kad tas pats klientas taip pat prisijungia prie jūsų vietinio tinklo, ir ši antroji sutartis tyliai apima pirmąją, ir taip žmonės į ją įslysta. Skirtumas susiveda į saują persiuntimo taisyklių, ir tai taip pat skirtumas tarp pralaidumo dalijimosi ir namo dalijimosi. Užrašykite sutartį prieš liesdami užkardą, nes vėliau pridėtą taisyklę lengviau pateisinti nei pašalinti.

Rinkitės tik interneto sutartį, nebent kam nors tikrai reikia LAN paslaugos, nes taisyklė, kurios niekada neparašėte, yra leidimas, kurio niekada nedavėte. Tada patikrinkite, kurią sutartį įgyvendina kliento programinė įranga, nes viso tunelio numatytoji reikšmė gali tyliai suteikti platesnę.

Pirma riba: namų tinklas

Svečio srautas namų tinkluose neturi ką veikti. Atskiras VPN potinklis arba dedikuotas prieglobos segmentas palengvina tos politikos išraišką, bet kitas pavadinimas pats savaime nieko neįgyvendina. Įvardykite įrenginį, kuris iš tikrųjų judina paketus, ir laikykite ten kirtimo taisykles, nes taisyklė, parašyta mašinoje, kuri nepersiunčia, yra dekoracija. Kai VPN veikia maršrutizatoriuje, tas vykdymo taškas yra paties maršrutizatoriaus persiuntimo grandinė.

Svečių tinklas su klientų izoliacija yra pagrįsta alternatyva, jei VPN klientai iš tikrųjų jame nusileidžia. Abu sprendimai reikalauja to paties bandymo iš kliento, o ne iš konsolės.

Antra riba: pagrindinis kompiuteris ir kiti svečiai

Klientams reikia VPN paslaugos ir nieko daugiau mašinoje, kuri ją vykdo, todėl administravimo prieiga lieka atskiras leidimas. Būtent jis dažniausiai suteikiamas atsitiktinai, nes tunelio klausytojas ir administravimo sąsaja yra tame pačiame įrenginyje. Jei VPN baigiasi maršrutizatoriuje, tunelio prievadas ir žiniatinklio ar SSH sąsaja yra skirtingi subjektai ir nusipelno skirtingų taisyklių. Taisyklė, apsauganti prisijungimo puslapį, niekada neturėtų būti skaitoma kaip persiuntimo draudimas.

Prieiga prie interneto taip pat nereikalauja leisti vienam pakviestam klientui pasiekti kitą. Nuotolinės prieigos telkiniai dažnai elgiasi kaip bendras segmentas, jei nesakote kitaip, todėl padarykite sprendimą aiškų telkinio konfigūracijoje. Keliems draugams izoliacija yra numatytoji vertė, kurią verta pasirinkti.

Nubraižykite maršrutus prieš rašydami taisykles

Atskiras įrenginys turi du atskirus paketų rinkinius prižiūrėti: tuos, kurie baigiasi jame, ir tuos, kuriuos jis persiunčia kliento vardu. CISA tinklo gairės įeinančius, išeinančius ir tarp tinklų einančius maršrutus laiko prieiga, kuriai reikia pagrindimo, ir tai čia yra teisinga sistema. Išvardykite namų prefiksus tokius, kokie jie iš tikrųjų yra, IPv4 ir IPv6 abu, nes blokas tik IPv4 palieka namus, kurie taip pat maršrutizuoja IPv6, visiškai atvirus toje pačioje riboje. Tada nuspręskite, kaip klientai gauna DNS ir ar kuri nors sprendėjo išimtis atskleidžia tik numatytą paslaugą.

Tai reikalavimai, o ne universalus receptas, nes taisyklės priklauso nuo to, kur VPN baigiasi ir kur vyksta vertimas. Venkite pridėti platų leidimą vien tam, kad pirmoji naršyklės užklausa pavyktų.

Ką prisiimate ir kaip tai išbandyti

Išėjimo bendrinimas sukuria operacinį vaidmenį. Kvieskite žmones per paslaugos tapatybės modelį, padarykite pašalinimą praktišką, prižiūrėkite pagrindinį kompiuterį ir maršrutizatorių ir nuspręskite, kiek jūsų įkėlimo paslauga gali naudoti. Užklausos išeina iš jūsų adreso, todėl skundai ir reputacijos problemos atvyksta prie jūsų durų, net jei nebuvo paliestas joks privatus įrenginys. Techninis izoliacijos sprendimas nieko nesako apie teisinę padėtį, o srauto ribojimas įprastais žiniatinklio prievadais nepadaro kiekvienos leidžiamos veiklos nekenksmingos.

Tada išbandykite atsisakymus su įgaliotu klientu, o ne iš maršrutizatoriaus konsolės. Kiekvienas iš šių turi galioti:

• Prieiga prie interneto veikia iš svečio tunelio.
• NAS ir spausdintuvai atsisakomi pagal adresą ir pagal pavadinimą.
• Maršrutizatoriaus administravimas atsisakomas iš tunelio adreso.
• Antras pakviestas klientas nepasiekiamas.
• Kliento autorizacijos pašalinimas iš tikrųjų nutraukia prieigą.

Jei savininkas negali išlaikyti tų ribų ir operacinių pareigų, konfigūracijos failo perdavimas nuvertina tai, ko ši tvarka iš jo reikalauja. Tai sąžiningas paslaugos aprašymas, ir jis priklauso žinutei, kuri keliauja su konfigūracija.