Објавување домашна VPN: што всушност изложувате

Пренасочувате еден порт за тунелот и си велите дека промената е ограничена. Во пракса портот само прима пакети; она што стои зад него е изложеноста. Три работи ја одредуваат таа изложеност: сокетот што слуша на јавната страна, идентитетот што тунелот го прифаќа и дестинациите до кои тој идентитет потоа може да стигне. Секое бара свој одговор, бидејќи внимателен избор во едното не ги ограничува другите.

Пренасочувањето порт не е услуга

Правилото на рутерот ги движи пакетите кон хост; тоа не го именува процесот што ги чита. Страницата за пренасочување и сокетот што слуша живеат на различни места, затоа правилото може да покажува на машина што повеќе не ја извршува услугата. За да откриете што навистина одговара, погледнете на хостот: ss -lntup го наведува секој сокет што слуша заедно со процесот што го поседува. Потоа поврзете го тој процес со компонента, верзија и сопственик.

Отстранувањето на правилото што се сеќавате дека сте го создале не ја затвора вратата. UPnP мапирање можело само да се додаде, IPv6 адреса може да остане достапна откако IPv4 записот ќе исчезне, а втор метод на објавување може да постои на друга машина. Прочитајте ја листата со UPnP мапирања на рутерот и неговите статични записи, потоа тестирајте од надвор од мрежата.

Најавата не е дозвола за LAN

Тунелот одлучува кој може да се поврзе; ресурсите одлучуваат што може да отвори поврзан клиент. Упатството на NIST за нулта доверба ја прави истата поделба на мрежно ниво: адресата не докажува ништо за авторизацијата. Дајте на еден регистриран лаптоп една задача, на пример читање споделен файл на именуван хост, и запишете го тој пар. Адресата на тунелот не треба да наследи администраторски пристап до остатокот од домот.

Прегледајте ги и патеките што ги испушта резимето: сообраќај клиент-кон-клиент, членство во мост, интернет пренасочување и превод на изворот. Секое може да поврзе два системи што вашата писмена задача никогаш не ги споменува. Исклучете ги оние што не и се потребни на задачата, потоа наведете до што клиентот сѐ уште може да стигне.

Чистото скенирање докажува многу малку

Отворен порт е факт за една адреса и еден протокол; успешна најава е факт за еден акредитив. Ниту едно не кажува што се случува потоа. Тестирајте ја предвидената операција на предвидениот хост, потоа пробајте идентитет што никогаш не бил регистриран, услуга што никој не ја одобрил и административниот интерфејс што треба да остане приватен. Последниот тест обично е оној што паѓа.

Тестирајте ги двете семејства адреси и секоја патека што ја објавувате. Скенирањето на IPv4 адресата не кажува ништо за услугата IPv6 што слуша, а внатрешниот тест не може да види проблем со NAT повратна јамка или филтер upstream. Извршете барем една проверка однадвор, на врска што не се враќа низ истиот рутер.

Запишете ја изложеноста

Кратка табела го претвора прегледот во нешто што следната личност може да го ревидира. Пополнете ја однадвор кон внатре, еден ред по достапна услуга, и чувајте ја со конфигурацијата, не во чат нишка. Ако редот нема сопственик, тоа е наод.

Редовите што велат само „VPN“ сѐ уште не се редови. На редот му требаат сокетот, хостот, идентитетот и дестинацијата, бидејќи тоа е она што би го тестирал ревизор или напаѓач.

Планирајте го пензионирањето пред да ви треба

Тунел што не можете да го отповикате е постојана врата. Одлучете однапред како да отповикате акредитив на уред, да завршите активна сесија и да го вратите пристапот откако надградбата ќе ја расипе услугата. Чувајте пат за обновување што не оди низ тунелот, бидејќи тунелот е она што ќе го поправате. Чувајте го таму каде што можете да стигнете без таа машина.

Прегледот е завршен кога предвидената дестинација работи, а несаканите не. Тоа не е гаранција дека нема ранливост, и зелената ознака на скенерот не заменува ниту едно. Предајте ја табелата и белешката за обновување на оној што ќе ја наследи поставеноста.