Домашен VPN за пријатели: споделете го излезот, не LAN

Да се каже дека пријател може да прелистува преку вашата домашна врска не е исто како да се каже дека може да ја користи вашата домашна мрежа, а јазот меѓу тие две реченици ги содржи NAS, печатачите, административната страница на рутерот и секој друг уред на LAN. Секоја поставеност бара свои правила за проследување. Повеќето инциденти со споделен VPN за кои слушам не се егзотични напади; тоа е гостин кој стигнал до нешто затоа што никој не запишал која граница се купува. Одлучете каков договор нудите, потоа изразете го во политика за проследување и пристап, а не во порака.

Два договори што звучат исто

Само интернет значи дека сообраќајот на поканетиот клиент излегува преку вашата врска и ништо повеќе. Целосен пристап значи дека истиот клиент се приклучува и на вашата локална мрежа, а тој втор договор тивко го вклучува првиот, и така луѓето се лизгаат во него. Разликата се сведува на неколку правила за проследување, а тоа е и разликата меѓу споделување пропусен опсег и споделување куќа. Запишете го договорот пред да го допрете огнениот ѕид, зашто правило додадено подоцна полесно се оправдува отколку што се отстранува.

Изберете го договорот само интернет, освен ако некому навистина не му треба услуга на LAN, зашто правило што никогаш не сте го напишале е дозвола што никогаш не сте ја дале. Потоа проверете кој договор го спроведува клиентскиот софтвер, зашто стандардното поставување со целосен тунел може тивко да го достави поширокиот.

Граница прва: домашната мрежа

Гостинскиот сообраќај сѐ уште нема никаква работа на домашните мрежи. Одделна VPN подмрежа или посветен сегмент за хостирање ја олеснуваат изразеноста на таа политика, но различното име само по себе ништо не наметнува. Именувајте го уредот што навистина ги движи пакетите и држете ги правилата за премин таму, зашто правило напишано на машина што не проследува е украс. Кога VPN работи на рутерот, таа точка на спроведување е сопствениот синџир за проследување на рутерот.

Гостинска мрежа со изолација на клиенти е разумна алтернатива, под услов VPN клиентите навистина да слетаат на неа. Двата дизајна бараат истиот тест од клиент, а не од конзолата.

Граница втора: домаќинот и другите гости

На клиентите им треба VPN услугата и ништо друго на машината што ја извршува, затоа пристапот за управување останува одделна дозвола. Тоа е она што најчесто се дава случајно, зашто слушателот на тунелот и административниот интерфејс се на иста кутија. Ако VPN завршува на рутерот, портата на тунелот и веб или SSH интерфејсот се различни субјекти и заслужуваат различни правила. Правило што заштитува страница за најава никогаш не смее да се чита како забрана за проследување.

Пристапот до интернет исто така не бара да се дозволи еден поканет клиент да стигне до друг. Базите за далечински пристап често се однесуваат како заеднички сегмент ако не кажете поинаку, затоа направете ја одлуката експлицитна во конфигурацијата на базата. За неколку пријатели, изолацијата е стандардот што вреди да се избере.

Мапирајте ги патеките пред да пишувате правила

Самостоен уред има два одделни комплети пакети за надзор: тие што завршуваат на него и тие што ги препраќа во име на клиент. Мрежните упатства на CISA ги третираат влезните, излезните и меѓумрежните патеки како пристап што бара оправдување, и тоа е вистинската рамка овде. Наведете ги домашните префикси такви какви што се, IPv4 и IPv6 двете, зашто блок само за IPv4 остава дом што исто така рутира IPv6 целосно отворен на истата граница. Потоа одлучете како клиентите добиваат DNS и дали некој исклучок на резолверот ја открива само предвидената услуга.

Ова се барања, а не универзален рецепт, зашто правилата зависат од тоа каде завршува VPN и каде се случува преводот. Избегнувајте да додадете широка дозвола само за да успее првото барање на прелистувачот.

Што преземате и како да го тестирате

Споделувањето излез создава оперативна улога. Поканете луѓе преку моделот на идентитет на услугата, направете го отстранувањето практично, одржувајте ги домаќинот и рутерот и одлучете колку од вашето качување услугата смее да користи. Барањата излегуваат од вашата адреса, затоа поплаките и проблемите со репутацијата доаѓаат на вашата врата дури и кога ниту еден приватен уред не е допрен. Техничкиот дизајн за изолација не кажува ништо за правната положба, а ограничувањето на сообраќајот на вообичаени веб порти не го прави секое дозволено дејство безопасно.

Потоа тестирајте ги одбивањата со овластен клиент, а не од конзолата на рутерот. Секое од следново мора да важи:

• Пристапот до интернет работи од гостинскиот тунел.
• NAS и печатачите се одбиваат по адреса и по име.
• Администрацијата на рутерот се одбива од адресата на тунелот.
• Вториот поканет клиент е недостапен.
• Отстранувањето на авторизацијата на клиентот навистина го прекинува пристапот.

Ако сопственикот не може да ги одржува тие граници и оперативните должности, предавањето на конфигурациска датотека го потценува тоа што поставеноста го бара од него. Тоа е чесниот опис на услугата и тој припаѓа во пораката што патува со конфигурацијата.