Mājas VPN draugiem: dalieties ar izeju, nevis ar LAN

Teikt, ka draugs var pārlūkot, izmantojot jūsu mājas savienojumu, nav tas pats, kas teikt, ka viņš var izmantot jūsu mājas tīklu, un atstarpe starp šiem diviem teikumiem ietver NAS, printerus, maršrutētāja administrēšanas lapu un visas pārējās LAN ierīces. Katram izkārtojumam vajadzīgi savi pārsūtīšanas noteikumi. Lielākā daļa koplietotā VPN incidentu, par kuriem dzirdu, nav eksotiskas uzbrukumi; tas ir viesis, kurš kaut ko sasniedza, jo neviens nepierakstīja, kura robeža tiek pirkta. Izlemiet, kādu līgumu piedāvājat, un pēc tam izsakiet to pārsūtīšanas un piekļuves politikā, nevis ziņojumā.

Divi līgumi, kas izklausās vienādi

Tikai internets nozīmē, ka uzaicinātā klienta trafiks iziet caur jūsu savienojumu un nekas tālāk. Pilna piekļuve nozīmē, ka tas pats klients pievienojas arī jūsu vietējam tīklam, un šis otrais līgums klusi ietver pirmo, un tā cilvēki tajā ieslīd. Atšķirība reducējas uz dažiem pārsūtīšanas noteikumiem, un tā ir arī atšķirība starp joslas platuma koplietošanu un mājas koplietošanu. Pierakstiet līgumu, pirms pieskaraties ugunsmūrim, jo vēlāk pievienotu noteikumu ir vieglāk attaisnot nekā noņemt.

Izvēlieties tikai interneta līgumu, ja vien kādam tiešām nav vajadzīgs LAN pakalpojums, jo noteikums, ko nekad neesat uzrakstījis, ir atļauja, ko nekad neesat devis. Pēc tam pārbaudiet, kuru līgumu īsteno klienta programmatūra, jo pilna tuneļa noklusējums var klusi piegādāt plašāko.

Pirmā robeža: mājas tīkls

Viesa trafikam mājas tīklos vispār nav ko darīt. Atsevišķs VPN apakštīkls vai īpašs mitināšanas segments padara šo politiku vieglāk izsakāmu, bet citādais nosaukums pats par sevi neko neuzspiež. Nosauciet ierīci, kas faktiski pārvieto paketes, un turiet šķērsošanas noteikumus tur, jo noteikums, kas rakstīts mašīnā, kura nepārsūta, ir dekorācija. Kad VPN darbojas maršrutētājā, šis izpildes punkts ir paša maršrutētāja pārsūtīšanas ķēde.

Viesa tīkls ar klientu izolāciju ir saprātīga alternatīva, ja VPN klienti tajā tiešām nolaižas. Abiem risinājumiem vajadzīgs tas pats tests no klienta, nevis no konsoles.

Otrā robeža: resursdators un pārējie viesi

Klientiem vajadzīgs VPN pakalpojums un nekas cits mašīnā, kas to darbina, tāpēc pārvaldības piekļuve paliek atsevišķa atļauja. Tieši to visbiežāk piešķir nejauši, jo tuneļa klausītājs un administrēšanas saskarne atrodas vienā kastē. Ja VPN beidzas maršrutētājā, tuneļa ports un tīmekļa vai SSH saskarne ir dažādi subjekti un pelna dažādus noteikumus. Noteikums, kas aizsargā pieteikšanās lapu, nekad nav lasāms kā pārsūtīšanas aizliegums.

Interneta piekļuve arī neprasa ļaut vienam uzaicinātam klientam sasniegt otru. Attālinātās piekļuves pūli bieži uzvedas kā koplietots segments, ja vien nesakāt citādi, tāpēc padariet lēmumu skaidru pūla konfigurācijā. Dažiem draugiem izolācija ir noklusējums, ko ir vērts izvēlēties.

Kartējiet ceļus pirms noteikumu rakstīšanas

Atsevišķai ierīcei ir divas atsevišķas pakešu kopas, kas jāuzrauga: tās, kas beidzas uz tās, un tās, ko tā pārsūta klienta vārdā. CISA tīkla vadlīnijas ienākošos, izejošos un starptīklu ceļus uzskata par piekļuvi, kurai vajadzīgs pamatojums, un tas šeit ir pareizais ietvars. Uzskaitiet mājas prefiksus tādus, kādi tie patiešām ir, IPv4 un IPv6 abus, jo bloks tikai IPv4 atstāj mājsaimniecību, kas arī maršrutē IPv6, pilnīgi atvērtu tajā pašā robežā. Pēc tam izlemiet, kā klienti iegūst DNS un vai kāds atrisinātāja izņēmums atklāj tikai paredzēto pakalpojumu.

Tās ir prasības, nevis universāla recepte, jo noteikumi ir atkarīgi no tā, kur VPN beidzas un kur notiek tulkošana. Izvairieties pievienot plašu atļauju tikai tāpēc, lai pirmais pārlūka pieprasījums izdotos.

Ko jūs uzņematies un kā to pārbaudīt

Izejas koplietošana rada operatīvu lomu. Uzaiciniet cilvēkus, izmantojot pakalpojuma identitātes modeli, padariet noņemšanu praktisku, uzturiet resursdatoru un maršrutētāju un izlemiet, cik lielu daļu jūsu augšupielādes pakalpojums drīkst izmantot. Pieprasījumi iznāk no jūsu adreses, tāpēc sūdzības un reputācijas problēmas nonāk pie jūsu durvīm arī tad, ja netika aizskarta neviena privāta ierīce. Tehnisks izolācijas dizains neko nepasaka par juridisko stāvokli, un trafika ierobežošana ar parastajiem tīmekļa portiem nepadara katru atļauto darbību nekaitīgu.

Pēc tam pārbaudiet atteikumus ar autorizētu klientu, nevis no maršrutētāja konsoles. Katram no šiem ir jāizpildās:

• Interneta piekļuve darbojas no viesa tuneļa.
• NAS un printeri tiek atteikti pēc adreses un pēc nosaukuma.
• Maršrutētāja administrēšana tiek atteikta no tuneļa adreses.
• Otrs uzaicinātais klients nav sasniedzams.
• Klienta autorizācijas noņemšana patiešām pārtrauc piekļuvi.

Ja īpašnieks nevar uzturēt šīs robežas un operatīvos pienākumus, konfigurācijas faila nodošana nenovērtē to, ko šis izkārtojums no viņa prasa. Tas ir godīgs pakalpojuma apraksts, un tas pieder ziņojumam, kas ceļo kopā ar konfigurāciju.