मित्रांसाठी घरगुती VPN: एक्झिट शेअर करा, LAN नाही

मित्र तुमच्या घरच्या कनेक्शनवरून ब्राउझ करू शकतो असे म्हणणे, तो तुमचे घरचे नेटवर्क वापरू शकतो असे म्हणण्यासारखे नाही, आणि या दोन वाक्यांमधील अंतरात NAS, प्रिंटर, राउटरचे अॅडमिन पेज आणि LAN वरील इतर प्रत्येक उपकरण आहे. प्रत्येक व्यवस्थेला स्वतःचे फॉरवर्डिंग नियम हवेत. मी ऐकतो त्या शेअर केलेल्या VPN घटनांपैकी बहुतेक विचित्र हल्ले नाहीत; तो एक गेस्ट आहे जो कशापर्यंत पोहोचला कारण कोणती सीमा विकत घेतली जाते हे कोणीही लिहून ठेवले नाही. तुम्ही कोणता करार देत आहात ते ठरवा, मग तो संदेशात नाही, फॉरवर्डिंग आणि प्रवेश धोरणात व्यक्त करा.

एकसारखे वाटणारे दोन करार

फक्त इंटरनेट म्हणजे आमंत्रित क्लायंटचा रहदारी तुमच्या कनेक्शनमधून बाहेर पडते आणि त्यापुढे काही नाही. पूर्ण प्रवेश म्हणजे तोच क्लायंट तुमच्या स्थानिक नेटवर्कमध्येही सामील होतो, आणि तो दुसरा करार पहिल्याला गुपचूप समाविष्ट करतो, आणि अशाच प्रकारे लोक त्यात घसरतात. फरक काही फॉरवर्डिंग नियमांपर्यंत येतो, आणि हा बँडविड्थ शेअर करणे आणि घर शेअर करणे यातील फरकही आहे. फायरवॉलला हात लावण्यापूर्वी करार लिहून ठेवा, कारण नंतर जोडलेला नियम काढण्यापेक्षा न्याय्य ठरवणे सोपे असते.

फक्त-इंटरनेट करार निवडा, जोपर्यंत कोणाला खरोखर LAN सेवेची गरज नाही, कारण तुम्ही कधीही न लिहिलेला नियम म्हणजे तुम्ही कधीही न दिलेली परवानगी. मग क्लायंट सॉफ्टवेअर कोणता करार लागू करते ते तपासा, कारण फुल-टनल डीफॉल्ट गुपचूप मोठा पर्याय देऊ शकतो.

सीमा एक: घरचे नेटवर्क

गेस्ट रहदारीचे घरच्या नेटवर्कवर काहीच काम नाही. वेगळे VPN सबनेट किंवा समर्पित होस्टिंग सेगमेंट ते धोरण व्यक्त करणे सोपे करते, पण वेगळे नाव स्वतःच काहीही लागू करत नाही. जे उपकरण प्रत्यक्षात पॅकेट हलवते त्याचे नाव घ्या आणि क्रॉसिंग नियम तिथेच ठेवा, कारण फॉरवर्ड न करणाऱ्या मशीनवर लिहिलेला नियम फक्त सजावट आहे. जेव्हा VPN राउटरवर चालते, तेव्हा तो अंमलबजावणी बिंदू राउटरची स्वतःची फॉरवर्ड चेन असते.

क्लायंट आयसोलेशनसह गेस्ट नेटवर्क हा वाजवी पर्याय आहे, जर VPN क्लायंट खरोखर त्यावर उतरतात. दोन्ही रचनांना कन्सोलवरून नाही, क्लायंटकडून तीच चाचणी हवी.

सीमा दोन: होस्ट आणि इतर गेस्ट

क्लायंटला VPN सेवा हवी आणि ती चालवणाऱ्या मशीनवर दुसरे काहीही नको, त्यामुळे व्यवस्थापन प्रवेश स्वतंत्र परवानगी राहतो. हेच सर्वाधिक अपघाताने दिले जाते, कारण टनल श्रोता आणि अॅडमिन इंटरफेस एकाच बॉक्सवर असतात. जर VPN राउटरवर संपते, तर टनल पोर्ट आणि वेब किंवा SSH इंटरफेस वेगळे विषय आहेत आणि वेगळ्या नियमांना पात्र आहेत. लॉगिन पेजचे संरक्षण करणारा नियम फॉरवर्डिंगवरील बंदी म्हणून कधीही वाचू नये.

इंटरनेट प्रवेशालाही एका आमंत्रित क्लायंटला दुसऱ्यापर्यंत पोहोचू देण्याची गरज नाही. रिमोट-प्रवेश पूल वेगळे सांगितल्याशिवाय सामायिक सेगमेंटसारखे वागतात, त्यामुळे पूल कॉन्फिगरेशनमध्ये निर्णय स्पष्ट करा. काही मित्रांसाठी, आयसोलेशन हा निवडण्यासारखा डीफॉल्ट आहे.

नियम लिहिण्यापूर्वी मार्गांचा नकाशा काढा

स्वतंत्र उपकरणाकडे देखरेखीसाठी पॅकेटचे दोन वेगळे संच असतात: जे त्यावर संपतात आणि जे ते क्लायंटच्या वतीने रिले करते. CISA च्या नेटवर्क मार्गदर्शक तत्त्वे इनबाउंड, आउटबाउंड आणि आंतर-नेटवर्क मार्गांना न्याय्यता आवश्यक असलेला प्रवेश मानतात, आणि इथे तीच योग्य चौकट आहे. घरचे प्रीफिक्स जसे आहेत तसेच सूचीबद्ध करा, IPv4 आणि IPv6 दोन्ही, कारण फक्त IPv4 ब्लॉक केल्यास IPv6 देखील राउट करणारे घर त्याच सीमेवर पूर्णपणे उघडे राहते. मग क्लायंटना DNS कसे मिळते आणि कोणताही रिझॉल्व्हर अपवाद फक्त इच्छित सेवा उघड करतो का ते ठरवा.

हे आवश्यकता आहेत, सार्वत्रिक कृती नाही, कारण नियम VPN कुठे संपते आणि भाषांतर कुठे होते यावर अवलंबून असतात. फक्त पहिली ब्राउझर विनंती यशस्वी व्हावी म्हणून विस्तृत परवानगी जोडणे टाळा.

तुम्ही काय जबाबदारी घेता, आणि ती कशी तपासायची

एक्झिट शेअर केल्याने ऑपरेशनल भूमिका तयार होते. लोकांना सेवेच्या ओळख मॉडेलद्वारे आमंत्रित करा, काढून टाकणे व्यवहार्य करा, होस्ट आणि राउटरची देखभाल करा, आणि सेवा तुमच्या अपलोडपैकी किती वापरू शकते ते ठरवा. विनंत्या तुमच्या पत्त्यावरून बाहेर पडतात, त्यामुळे कोणत्याही खाजगी उपकरणाला हात न लागला तरी तक्रारी आणि प्रतिष्ठेच्या समस्या तुमच्या दारात येतात. तांत्रिक आयसोलेशन रचना कायदेशीर स्थितीबद्दल काहीच सांगत नाही, आणि रहदारी नेहमीच्या वेब पोर्टपर्यंत मर्यादित करणे प्रत्येक परवानगी असलेल्या कृतीला हानिकारक ठरवत नाही.

मग नकार राउटर कन्सोलवरून नाही, अधिकृत क्लायंटकडून तपासा. खालीलपैकी प्रत्येक सत्य असले पाहिजे:

• गेस्ट टनलमधून इंटरनेट प्रवेश काम करतो.
• NAS आणि प्रिंटर पत्त्याने आणि नावाने नाकारले जातात.
• टनल पत्त्यावरून राउटर प्रशासन नाकारले जाते.
• दुसरा आमंत्रित क्लायंट पोहोचू शकत नाही.
• क्लायंटची अधिकृतता काढून टाकल्यास प्रवेश खरोखर संपतो.

जर मालक त्या सीमा आणि ऑपरेशनल जबाबदाऱ्या टिकवू शकत नसेल, तर कॉन्फिगरेशन फाइल सुपूर्द करणे ही व्यवस्था त्याच्याकडून काय मागते याचा कमी अंदाज करते. हे सेवेचे प्रामाणिक वर्णन आहे, आणि ते कॉन्फिगरेशनसोबत प्रवास करणाऱ्या संदेशातच असले पाहिजे.