VPN rumah untuk rakan: kongsi jalan keluar, bukan LAN

Mengatakan seorang rakan boleh melayari melalui sambungan rumah anda bukanlah sama dengan mengatakan dia boleh menggunakan rangkaian rumah anda, dan jurang antara kedua-dua ayat itu mengandungi NAS, pencetak, halaman admin penghala dan setiap peranti lain pada LAN. Setiap susunan memerlukan peraturan penghantaran sendiri. Kebanyakan insiden VPN dikongsi yang saya dengar bukan serangan eksotik; ia ialah tetamu yang mencapai sesuatu kerana tiada siapa menulis sempadan mana yang dibeli. Tentukan kontrak mana yang anda tawarkan, kemudian nyatakannya dalam dasar penghantaran dan akses, bukan dalam mesej.

Dua kontrak yang kedengaran sama

Internet sahaja bermaksud trafik klien yang dijemput keluar melalui sambungan anda dan tiada lagi. Akses penuh bermaksud klien yang sama juga menyertai rangkaian tempatan anda, dan kontrak kedua itu secara senyap merangkumi yang pertama, dan begitulah orang tergelincir ke dalamnya. Perbezaannya berkisar pada beberapa peraturan penghantaran, dan ia juga perbezaan antara berkongsi lebar jalur dan berkongsi rumah. Tuliskan kontrak itu sebelum anda menyentuh tembok api, kerana peraturan yang ditambah kemudian lebih mudah dijustifikasi daripada dibuang.

Pilih kontrak internet sahaja melainkan seseorang benar-benar memerlukan perkhidmatan di LAN, kerana peraturan yang tidak pernah anda tulis ialah kebenaran yang tidak pernah anda berikan. Kemudian semak kontrak mana yang dilaksanakan oleh perisian klien, kerana lalai terowong penuh boleh secara senyap memberikan yang lebih luas.

Sempadan satu: rangkaian rumah

Trafik tetamu tidak ada urusan sama sekali pada rangkaian rumah. Subnet VPN berasingan atau segmen pengehosan khusus menjadikan dasar itu lebih mudah dinyatakan, tetapi nama yang berbeza tidak menguatkuasakan apa-apa dengan sendirinya. Namakan peranti yang benar-benar menggerakkan paket dan simpan peraturan lintasan di situ, kerana peraturan yang ditulis pada mesin yang tidak menghantar hanyalah hiasan. Apabila VPN berjalan pada penghala, titik penguatkuasaan itu ialah rantaian penghantaran penghala itu sendiri.

Rangkaian tetamu dengan pengasingan klien ialah alternatif yang wajar, dengan syarat klien VPN benar-benar mendarat di atasnya. Kedua-dua reka bentuk memerlukan ujian yang sama dari klien, bukan dari konsol.

Sempadan dua: hos dan tetamu lain

Klien memerlukan perkhidmatan VPN dan tiada apa-apa lagi pada mesin yang menjalankannya, jadi akses pengurusan kekal sebagai kebenaran berasingan. Itulah yang paling kerap diberikan secara tidak sengaja, kerana pendengar terowong dan antara muka pentadbiran berada pada kotak yang sama. Jika VPN berakhir pada penghala, port terowong dan antara muka web atau SSH ialah subjek berbeza dan layak mendapat peraturan berbeza. Peraturan yang melindungi halaman log masuk tidak sepatutnya pernah dibaca sebagai larangan penghantaran.

Akses internet juga tidak memerlukan membenarkan seorang klien yang dijemput mencapai yang lain. Kumpulan akses jauh sering berkelakuan seperti segmen dikongsi melainkan anda menyatakan sebaliknya, jadi jadikan keputusan itu eksplisit dalam konfigurasi kumpulan. Untuk beberapa orang rakan, pengasingan ialah lalai yang wajar dipilih.

Petakan laluan sebelum menulis peraturan

Perkakas kendiri mempunyai dua set paket berasingan untuk diawasi: yang berakhir padanya dan yang dihantarnya bagi pihak klien. Panduan rangkaian CISA menganggap laluan masuk, keluar dan antara rangkaian sebagai akses yang memerlukan justifikasi, dan itulah rangka yang betul di sini. Senaraikan awalan rumah sebagaimana adanya, IPv4 dan IPv6 kedua-duanya, kerana sekatan hanya IPv4 membiarkan rumah yang juga mengarahkan IPv6 terbuka sepenuhnya pada sempadan yang sama. Kemudian tentukan bagaimana klien mendapat DNS dan sama ada sebarang pengecualian penyelesai hanya mendedahkan perkhidmatan yang dimaksudkan.

Ini ialah keperluan dan bukan resipi sejagat, kerana peraturan bergantung pada tempat VPN berakhir dan tempat terjemahan berlaku. Elakkan menambah kebenaran luas hanya supaya permintaan pelayar pertama berjaya.

Apa yang anda ambil alih, dan cara mengujinya

Berkongsi jalan keluar mencipta peranan operasi. Jemput orang melalui model identiti perkhidmatan, jadikan pembuangan praktikal, pelihara hos dan penghala, dan tentukan berapa banyak muat naik anda yang boleh digunakan oleh perkhidmatan itu. Permintaan keluar dari alamat anda, jadi aduan dan masalah reputasi tiba di pintu anda walaupun tiada peranti peribadi disentuh. Reka bentuk pengasingan teknikal tidak mengatakan apa-apa tentang kedudukan undang-undang, dan mengehadkan trafik kepada port web biasa tidak menjadikan setiap aktiviti yang dibenarkan tidak berbahaya.

Kemudian uji penolakan dengan klien yang dibenarkan dan bukan dari konsol penghala. Setiap perkara berikut mesti berlaku:

• Akses internet berfungsi dari terowong tetamu.
• NAS dan pencetak ditolak mengikut alamat dan mengikut nama.
• Pentadbiran penghala ditolak dari alamat terowong.
• Klien kedua yang dijemput tidak boleh dicapai.
• Membuang kebenaran klien benar-benar menamatkan akses.

Jika pemilik tidak dapat mengekalkan sempadan itu dan tugas operasi, menyerahkan fail konfigurasi meremehkan apa yang diminta oleh susunan itu daripadanya. Itulah penerangan jujur tentang perkhidmatan ini, dan ia tergolong dalam mesej yang mengembara bersama konfigurasi.