Menerbitkan VPN rumah: apa yang sebenarnya anda dedahkan

Anda memajukan satu port untuk terowong dan berkata kepada diri sendiri bahawa perubahannya terhad. Pada praktiknya port hanya menerima paket; apa yang berada di belakangnya ialah pendedahan. Tiga perkara menentukan pendedahan itu: soket yang mendengar di sisi awam, identiti yang diterima terowong, dan destinasi yang boleh dicapai oleh identiti itu. Setiap satu memerlukan jawapannya sendiri, kerana pilihan berhati-hati pada satu tidak mengehadkan yang lain.

Pemajuan port bukan perkhidmatan

Peraturan penghala menggerakkan paket ke arah hos; ia tidak menamakan proses yang membacanya. Halaman pemajuan dan soket yang mendengar berada di tempat berbeza, sebab itu peraturan boleh menunjuk kepada mesin yang tidak lagi menjalankan perkhidmatan. Untuk mengetahui apa yang benar-benar menjawab, lihat pada hos: ss -lntup menyenaraikan setiap soket yang mendengar bersama proses pemiliknya. Kemudian padankan proses itu dengan komponen, versi dan pemilik.

Membuang peraturan yang anda ingat telah dibuat tidak menutup pintu. Pemetaan UPnP mungkin menambah dirinya sendiri, alamat IPv6 boleh kekal boleh dicapai selepas entri IPv4 hilang, dan kaedah penerbitan kedua mungkin wujud pada mesin lain. Baca senarai pemetaan UPnP penghala serta entri statiknya, kemudian uji dari luar rangkaian.

Log masuk bukan kebenaran LAN

Terowong menentukan siapa yang boleh menyambung; sumber menentukan apa yang boleh dibuka oleh klien yang bersambung. Panduan kepercayaan sifar NIST membuat pemisahan yang sama pada skala rangkaian: alamat tidak membuktikan apa-apa tentang kebenaran. Beri satu komputer riba berdaftar satu tugas, seperti membaca perkongsian fail pada hos bernama, dan catat pasangan itu. Alamat terowong tidak sepatutnya mewarisi akses pentadbir ke seluruh rumah.

Periksa juga laluan yang ditinggalkan oleh ringkasan: trafik klien-ke-klien, keahlian jambatan, pemajuan internet dan terjemahan sumber. Setiap satu boleh menyambung dua sistem yang tidak pernah disebut oleh tugas bertulis anda. Matikan yang tidak diperlukan oleh tugas, kemudian senaraikan apa yang masih boleh dicapai oleh klien.

Imbasan bersih membuktikan sangat sedikit

Port terbuka ialah fakta tentang satu alamat dan satu protokol; log masuk berjaya ialah fakta tentang satu kelayakan. Kedua-duanya tidak mengatakan apa yang berlaku seterusnya. Uji operasi yang dimaksudkan pada hos yang dimaksudkan, kemudian cuba identiti yang tidak pernah didaftarkan, perkhidmatan yang tidak diluluskan oleh sesiapa, dan antara muka pengurusan yang sepatutnya kekal peribadi. Ujian terakhir biasanya yang gagal.

Uji kedua-dua keluarga alamat dan setiap laluan yang anda terbitkan. Imbasan alamat IPv4 tidak mengatakan apa-apa tentang perkhidmatan IPv6 yang mendengar, dan ujian dalaman tidak dapat melihat masalah gelung balik NAT atau penapis di hulu. Jalankan sekurang-kurangnya satu pemeriksaan dari luar, pada sambungan yang tidak kembali melalui penghala yang sama.

Tuliskan pendedahan itu

Jadual pendek menjadikan semakan sesuatu yang boleh diaudit oleh orang seterusnya. Isi dari luar ke dalam, satu baris bagi setiap perkhidmatan yang boleh dicapai, dan simpan bersama konfigurasi, bukan dalam benang sembang. Jika sesuatu baris tiada pemilik, itu ialah penemuan.

Baris yang hanya berkata “VPN” belum menjadi baris. Baris memerlukan soket, hos, identiti dan destinasi, kerana itulah yang akan diuji oleh juruaudit atau penyerang.

Rancang persaraan sebelum anda memerlukannya

Terowong yang tidak boleh anda batalkan ialah pintu kekal. Tentukan lebih awal cara menarik balik kelayakan peranti, menamatkan sesi langsung dan memulihkan akses selepas peningkatan merosakkan perkhidmatan. Kekalkan laluan pemulihan yang tidak melalui terowong, kerana terowong itulah yang akan anda baiki. Simpan di tempat yang boleh anda capai tanpa mesin itu.

Semakan selesai apabila destinasi yang dimaksudkan berfungsi dan yang tidak diingini tidak. Ini bukan jaminan tiada kelemahan, dan label hijau pengimbas tidak menggantikan kedua-duanya. Serahkan jadual dan nota pemulihan kepada sesiapa yang mewarisi persediaan ini.