Mājas VPN publicēšana: ko jūs patiešām atklājat

Jūs pārsūtāt vienu portu tunelim un sakāt sev, ka izmaiņas ir ierobežotas. Praksē ports laiž cauri tikai paketes; tas, kas atrodas aiz tā, ir atklāšana. Atklāšanu nosaka trīs lietas: publiskajā pusē klausošā ligzda, identitāte, ko tunelis pieņem, un galamērķi, kurus šī identitāte pēc tam var sasniegt. Katram vajadzīga sava atbilde, jo rūpīga izvēle vienā neierobežo pārējos.

Porta pārsūtīšana nav pakalpojums

Maršrutētāja noteikums pārvieto paketes uz resursdatoru; tas nenosauc procesu, kas tās lasa. Pārsūtīšanas lapa un klausošā ligzda dzīvo dažādās vietās, tāpēc noteikums var norādīt uz mašīnu, kas vairs neizpilda pakalpojumu. Lai uzzinātu, kas patiešām atbild, skatieties uz resursdatoru: ss -lntup uzskaita katru klausošo ligzdu kopā ar to īpašnieku procesu. Pēc tam saskaņojiet šo procesu ar komponentu, versiju un īpašnieku.

Atcerētā noteikuma noņemšana durvis neaizver. UPnP kartējums varēja pievienoties pats, IPv6 adrese var palikt sasniedzama pēc tam, kad IPv4 ieraksts ir pazudis, un otra publicēšanas metode var pastāvēt citā mašīnā. Izlasiet maršrutētāja UPnP kartējumu sarakstu un tā statiskos ierakstus, pēc tam pārbaudiet ārpus tīkla.

Pieteikšanās nav LAN atļauja

Tunelis izlemj, kas drīkst pieslēgties; resursi izlemj, ko pieslēgtais klients drīkst atvērt. NIST nulles uzticēšanās vadlīnijas veic tādu pašu sadalījumu tīkla mērogā: adrese neko nepierāda par autorizāciju. Dodiet vienam reģistrētam klēpjdatoram vienu uzdevumu, piemēram, lasīt failu koplietojumu nosauktā resursdatorā, un pierakstiet šo pāri. Tunela adresei nevajadzētu mantot administratora piekļuvi pārējai mājai.

Pārbaudiet arī ceļus, ko kopsavilkums izlaiž: klienta pret klientu trafiku, tilta dalību, interneta pārsūtīšanu un avota tulkošanu. Katrs var savienot divas sistēmas, kuras jūsu rakstiskais uzdevums nekad nemin. Izslēdziet tos, kas uzdevumam nav vajadzīgi, pēc tam uzskaitiet, kur klients vēl var nokļūt.

Tīrs skenējums pierāda ļoti maz

Atvērts ports ir fakts par vienu adresi un vienu protokolu; veiksmīga pieteikšanās ir fakts par vienu akreditācijas datu kopu. Neviens no tiem nepasaka, kas notiks tālāk. Pārbaudiet paredzēto darbību paredzētajā resursdatorā, pēc tam izmēģiniet identitāti, kas nekad nav reģistrēta, pakalpojumu, ko neviens nav apstiprinājis, un pārvaldības saskarni, kurai jāpaliek privātai. Pēdējais tests parasti ir tas, kas neizdodas.

Pārbaudiet abas adrešu saimes un katru publicēto ceļu. IPv4 adreses skenējums neko nepasaka par klausošu IPv6 pakalpojumu, un iekšējs tests nevar redzēt NAT cilpas problēmu vai augšupēju filtru. Veiciet vismaz vienu pārbaudi no ārpuses, savienojumā, kas neatgriežas pa to pašu maršrutētāju.

Pierakstiet atklāšanu

Īsa tabula pārvērš pārskatu kaut kā tādā, ko nākamā persona var auditēt. Aizpildiet to no ārpuses uz iekšu, vienu rindu katram sasniedzamajam pakalpojumam, un glabājiet to kopā ar konfigurāciju, nevis tērzēšanas pavedienā. Ja rindai nav īpašnieka, tas ir atradums.

Rindas, kas saka tikai “VPN”, vēl nav rindas. Rindai vajadzīga ligzda, resursdators, identitāte un galamērķis, jo tieši to pārbaudītu auditors vai uzbrucējs.

Plānojiet izņemšanu no ekspluatācijas pirms tās vajadzības

Tunelis, ko nevarat atsaukt, ir pastāvīgas durvis. Iepriekš izlemiet, kā atsaukt ierīces akreditācijas datus, pārtraukt aktīvu sesiju un atjaunot piekļuvi pēc tam, kad atjauninājums sabojā pakalpojumu. Saglabājiet atkopšanas ceļu, kas neiet caur tuneli, jo tunelis ir tas, ko jūs labosiet. Glabājiet to vietā, kur varat nokļūt bez šīs mašīnas.

Pārskats ir pabeigts, kad paredzētais galamērķis darbojas, bet nevēlamie nedarbojas. Tā nav garantija, ka nav ievainojamību, un skenera zaļā etiķete neaizstāj nevienu no tiem. Nododiet tabulu un atkopšanas piezīmi tam, kurš manto šo iestatījumu.