Namų VPN skelbimas: ką iš tikrųjų atskleidžiate

Persiunčiate vieną prievadą tuneliui ir sakote sau, kad pakeitimas yra ribotas. Praktiškai prievadas praleidžia tik paketus; tai, kas yra už jo, yra atskleidimas. Atskleidimą lemia trys dalykai: viešojoje pusėje klausantis lizdas, tapatybė, kurią tunelis priima, ir paskirties vietos, kurias ta tapatybė gali pasiekti. Kiekvienam reikia atskiro atsakymo, nes apdairus pasirinkimas viename neapriboja kitų.

Prievado persiuntimas nėra paslauga

Maršrutizatoriaus taisyklė perkelia paketus link prieglobos; ji neįvardija juos skaitančio proceso. Persiuntimo puslapis ir klausantis lizdas gyvena skirtingose vietose, todėl taisyklė gali rodyti į mašiną, kuri nebevykdo paslaugos. Norėdami sužinoti, kas iš tikrųjų atsako, pažiūrėkite priegloboje: ss -lntup išvardija kiekvieną klausantį lizdą kartu su jį valdančiu procesu. Tada priskirkite tą procesą komponentui, versijai ir savininkui.

Prisimintos taisyklės pašalinimas neuždaro durų. UPnP susiejimas galėjo pridėti save, IPv6 adresas gali likti pasiekiamas dingus IPv4 įrašui, o antrasis skelbimo būdas gali egzistuoti kitoje mašinoje. Perskaitykite maršrutizatoriaus UPnP susiejimų sąrašą ir statinius įrašus, tada išbandykite už tinklo ribų.

Prisijungimas nėra LAN leidimas

Tunelis nusprendžia, kas gali prisijungti; ištekliai nusprendžia, ką prijungtas klientas gali atidaryti. NIST nulinio pasitikėjimo gairės daro tą patį atskyrimą tinklo mastu: adresas nieko neįrodo apie įgaliojimą. Duokite vienam užregistruotam nešiojamajam kompiuteriui vieną užduotį, pavyzdžiui, skaityti failų bendrinimą pavadintoje priegloboje, ir užrašykite šią porą. Tunelio adresas neturėtų paveldėti administratoriaus prieigos prie likusio namo.

Patikrinkite ir kelius, kuriuos santrauka praleidžia: kliento su klientu srautą, tilto narystę, interneto persiuntimą ir šaltinio vertimą. Kiekvienas gali sujungti dvi sistemas, kurių jūsų rašytinė užduotis niekada nemini. Išjunkite tai, ko užduočiai nereikia, tada išvardykite, kur klientas dar gali patekti.

Švarus skenavimas įrodo labai mažai

Atviras prievadas yra faktas apie vieną adresą ir vieną protokolą; sėkmingas prisijungimas yra faktas apie vieną prisijungimo duomenį. Nė vienas nepasako, kas bus toliau. Išbandykite numatytą operaciją numatytoje priegloboje, tada pabandykite tapatybę, kuri niekada nebuvo užregistruota, paslaugą, kurios niekas nepatvirtino, ir valdymo sąsają, kuri turėtų likti privati. Paskutinis bandymas paprastai nepavyksta.

Išbandykite abi adresų šeimas ir kiekvieną skelbiamą kelią. IPv4 adreso skenavimas nieko nepasako apie klausančią IPv6 paslaugą, o vidinis bandymas negali pamatyti NAT grįžtamosios kilpos problemos ar aukštutinio filtro. Atlikite bent vieną patikrą iš išorės, ryšiu, kuris negrįžta per tą patį maršrutizatorių.

Užrašykite atskleidimą

Trumpa lentelė paverčia peržiūrą tuo, ką kitas žmogus gali audituoti. Užpildykite ją iš išorės į vidų, po vieną eilutę kiekvienai pasiekiamai paslaugai, ir laikykite ją kartu su konfigūracija, o ne pokalbių gijoje. Jei eilutė neturi savininko, tai yra radinys.

Eilutės, kurios sako tik „VPN“, dar nėra eilutės. Eilutei reikia lizdo, prieglobos, tapatybės ir paskirties vietos, nes būtent tai tikrintų auditorius arba užpuolikas.

Suplanuokite išjungimą prieš jam prireikus

Tunelis, kurio negalite atšaukti, yra nuolatinės durys. Iš anksto nuspręskite, kaip atšaukti įrenginio prisijungimo duomenis, užbaigti aktyvią sesiją ir atkurti prieigą po to, kai naujinimas sugadina paslaugą. Laikykite atkūrimo kelią, kuris neina per tunelį, nes tunelis yra tai, ką taisysite. Saugokite jį ten, kur galite pasiekti be tos mašinos.

Peržiūra baigiama, kai numatyta paskirties vieta veikia, o nepageidaujamos neveikia. Tai nėra garantija, kad pažeidžiamumų nėra, ir skenerio žalia etiketė nepakeičia nė vieno. Perduokite lentelę ir atkūrimo pastabą tam, kuris paveldės sąranką.