VPN tad-dar għall-ħbieb: aqsam l-ħruġ, mhux il-LAN

Li tgħid li ħabib jista' jfittex permezz tal-konnessjoni tad-dar tiegħek mhuwiex l-istess bħal li tgħid li jista' juża n-netwerk tad-dar tiegħek, u l-vojt bejn dawn iż-żewġ sentenzi fih in-NAS, il-printers, il-paġna tal-amministrazzjoni tar-router u kull apparat ieħor fuq il-LAN. Kull arranġament jeħtieġ ir-regoli tiegħu ta' trażmissjoni. Il-biċċa l-kbira tal-inċidenti tal-VPN maqsum li nisma' dwarhom mhumiex attakki eżotiċi; huwa mistieden li wasal għal xi ħaġa għax ħadd ma kiteb liema konfini qed jinxtraw. Iddeċiedi liema kuntratt qed toffri, imbagħad tesprimih fil-politika tat-trażmissjoni u tal-aċċess, mhux fi messaġġ.

Żewġ kuntratti li jinstemgħu l-istess

Internet biss ifisser li t-traffiku tal-klijent mistieden joħroġ mill-konnessjoni tiegħek u xejn aktar. Aċċess sħiħ ifisser li l-istess klijent jingħaqad ukoll man-netwerk lokali tiegħek, u dak it-tieni kuntratt jinkludi bil-moħbi l-ewwel wieħed, u hekk in-nies jiżolqu fih. Id-differenza tinżel għal ftit regoli ta' trażmissjoni, u hija wkoll id-differenza bejn li taqsam il-bandwidth u li taqsam dar. Ikteb il-kuntratt qabel ma tmiss il-firewall, għax regola miżjuda wara hija eqreb lejn li tiġi ġġustifikata milli lejn li titneħħa.

Agħżel il-kuntratt tal-internet biss sakemm xi ħadd ma jkollux bżonn ġenwin ta' servizz fuq il-LAN, għax regola li qatt ma ktibt hija permess li qatt ma tajt. Imbagħad iċċekkja liema kuntratt jimplimenta s-software tal-klijent, għax il-valur awtomatiku ta' tunnel sħiħ jista' bil-moħbi jagħti dak usa'.

Konfini wieħed: in-netwerk tad-dar

It-traffiku tal-mistednin m'għandu xejn x'jaqsam man-netwerks tad-dar. Subnet VPN separat jew segment tad-dar tal-ħosting iddedikat jagħmlu dik il-politika aktar faċli biex tesprimiha, imma l-isem differenti ma jinfurzax xejn waħdu. Semmi l-apparat li tassew iċaqlaq il-pakketti u żomm ir-regoli tal-qsim hemmhekk, għax regola miktuba fuq magna li ma tgħaddix hija ornament. Meta l-VPN taħdem fuq ir-router, dak il-punt tal-infurzar huwa l-katina tat-trażmissjoni tar-router stess.

Netwerk għall-mistednin bl-iżolament tal-klijenti huwa alternattiva raġonevoli, sakemm il-klijenti tal-VPN tassew jinżlu fuqu. Iż-żewġ disinji jeħtieġu l-istess test minn klijent u mhux mill-console.

Konfini tnejn: il-host u l-mistednin l-oħra

Il-klijenti jeħtieġu s-servizz tal-VPN u xejn aktar fuq il-magna li tmexxih, għalhekk l-aċċess tal-amministrazzjoni jibqa' permess separat. Dan huwa dak li l-aktar ta' spiss jingħata b'inċident, għax is-semmiegħ tat-tunnel u l-interface tal-amministrazzjoni jinsabu fl-istess kaxxa. Jekk il-VPN tispiċċa fuq ir-router, il-port tat-tunnel u l-interface web jew SSH huma suġġetti differenti u jistħoqqilhom regoli differenti. Regola li tipproteġi paġna tad-dħul m'għandhiex qatt tinqara bħala projbizzjoni fuq it-trażmissjoni.

L-aċċess għall-internet lanqas jeħtieġ li jħalli klijent mistieden wieħed jilħaq ieħor. Il-pools tal-aċċess mill-bogħod spiss iġibu ruħhom bħala segment maqsum sakemm ma tgħidx mod ieħor, għalhekk agħmel id-deċiżjoni espliċita fil-konfigurazzjoni tal-pool. Għal ftit ħbieb, l-iżolament huwa l-valur awtomatiku li jistħoqqlu jintgħażel.

Ippjana l-mogħdijiet qabel ma tikteb ir-regoli

Apparat awtonomu għandu żewġ settijiet separati ta' pakketti x'jissorvelja: dawk li jispiċċaw fuqu u dawk li jgħaddi f'isem klijent. Il-linji gwida tan-netwerk tas-CISA jittrattaw il-mogħdijiet tad-dħul, tal-ħruġ u bejn in-netwerks bħala aċċess li jeħtieġ ġustifikazzjoni, u dan huwa l-qafas korrett hawn. Elenka l-prefissi tad-dar kif inhuma tassew, IPv4 u IPv6 it-tnejn, għax blokk ta' IPv4 biss iħalli dar li wkoll iddawwar IPv6 miftuħa għal kollox fl-istess konfini. Imbagħad iddeċiedi kif il-klijenti jiksbu d-DNS u jekk xi eċċezzjoni tar-resolver turix biss is-servizz maħsub.

Dawn huma rekwiżiti u mhux riċetta universali, għax ir-regoli jiddependu minn fejn tispiċċa l-VPN u fejn isseħħ it-traduzzjoni. Evita li żżid permess wiesa' biss biex l-ewwel talba tal-browser tirnexxi.

X'qed tieħu fuqek, u kif tittestjah

Li taqsam ħruġ joħloq rwol operattiv. Stieden lin-nies permezz tal-mudell tal-identità tas-servizz, agħmel it-tneħħija prattika, żomm il-host u r-router mantnuti, u iddeċiedi kemm mill-upload tiegħek is-servizz jista' juża. It-talbiet joħorġu mill-indirizz tiegħek, għalhekk ilmenti u problemi tar-reputazzjoni jaslu sa bieb tiegħek anki meta ma jintmess l-ebda apparat privat. Disinn tekniku tal-iżolament ma jgħid xejn dwar il-pożizzjoni legali, u li tillimita t-traffiku għall-portijiet web komuni ma jagħmilx kull attività permessa bla ħsara.

Imbagħad ittestja r-rifjuti b'klijent awtorizzat u mhux mill-console tar-router. Kull wieħed minn dawn għandu jżomm:

• L-aċċess għall-internet jaħdem mit-tunnel tal-mistieden.
• In-NAS u l-printers huma rrifjutati bl-indirizz u bl-isem.
• L-amministrazzjoni tar-router hija rrifjutata mill-indirizz tat-tunnel.
• It-tieni klijent mistieden mhuwiex aċċessibbli.
• It-tneħħija tal-awtorizzazzjoni tal-klijent tassew ittemm l-aċċess.

Jekk is-sid ma jistax iżomm dawk il-konfini u d-dmirijiet operattivi, il-konsenja ta' fajl tal-konfigurazzjoni tnaqqas milli jkun meħtieġ mill-arranġament minnu. Dik hija d-deskrizzjoni onesta tas-servizz, u tappartjeni għall-messaġġ li jivvjaġġa mal-konfigurazzjoni.