Hjemme-VPN for venner: del utgangen, ikke LAN-et

Å si at en venn kan surfe gjennom hjemmetilkoblingen din er ikke det samme som å si at han kan bruke hjemmenettverket ditt, og gapet mellom de to setningene inneholder NAS-en, skriverne, admin-siden til ruteren og alle andre enheter på LAN-et. Hver ordning trenger sine egne videresendingsregler. De fleste hendelsene med delt VPN jeg hører om, er ikke eksotiske angrep; det er en gjest som nådde noe fordi ingen skrev ned hvilken grense som ble kjøpt. Bestem hvilken kontrakt du tilbyr, og uttrykk den deretter i videresendings- og tilgangspolicy i stedet for i en melding.

To kontrakter som høres like ut

Bare internett betyr at trafikken til den inviterte klienten forlater gjennom tilkoblingen din og ingenting videre. Full tilgang betyr at samme klient også blir med på det lokale nettverket ditt, og den andre kontrakten inkluderer stille den første, og slik glir folk inn i den. Forskjellen koker ned til en håndfull videresendingsregler, og det er også forskjellen mellom å dele båndbredde og å dele et hus. Skriv ned kontrakten før du rører brannmuren, for en regel du legger til etterpå er lettere å rettferdiggjøre enn å fjerne.

Velg kontrakten med bare internett med mindre noen virkelig trenger en LAN-tjeneste, for en regel du aldri skrev, er en tillatelse du aldri ga. Sjekk deretter hvilken kontrakt klientprogramvaren implementerer, for en standard med full tunnel kan stille levere den bredere.

Grense én: husholdningens nettverk

Gjestetrafikk har slett ingenting på husholdningens nettverk å gjøre. Et eget VPN-subnett eller et dedikert hostingsegment gjør den policyen lettere å uttrykke, men det annerledes navnet håndhever ingenting i seg selv. Navngi enheten som faktisk flytter pakkene, og hold kryssingsreglene der, for en regel skrevet på en maskin som ikke videresender, er dekorasjon. Når VPN-en kjører på ruteren, er håndhevingspunktet ruterens egen videresendingskjede.

Et gjestenettverk med klientisolering er et rimelig alternativ, forutsatt at VPN-klientene faktisk lander på det. Begge designene trenger den samme testen fra en klient i stedet for fra konsollen.

Grense to: verten og de andre gjestene

Klienter trenger VPN-tjenesten og ingenting annet på maskinen som kjører den, så administrasjonstilgang forblir en egen tillatelse. Det er den som oftest gis ved uhell, fordi tunnel-lytteren og administrasjonsgrensesnittet sitter på samme boks. Hvis VPN-en terminerer på ruteren, er tunnelporten og web- eller SSH-grensesnittet forskjellige emner og fortjener forskjellige regler. En regel som beskytter en innloggingsside bør aldri leses som et forbud mot videresending.

Internettilgang krever heller ikke å la én invitert klient nå en annen. Fjerntilgangsbassenger oppfører seg ofte som et delt segment med mindre du sier noe annet, så gjør beslutningen eksplisitt i bassengkonfigurasjonen. For en håndfull venner er isolering standardvalget som er verdt å ta.

Kartlegg stiene før du skriver regler

Et frittstående apparat har to separate sett med pakker å overvåke: de som terminerer på det, og de det videresender på vegne av en klient. CISAs nettverksveiledning behandler innkommende, utgående og nettverksinterne stier som tilgang som trenger begrunnelse, og det er den riktige rammen her. List opp husholdningens prefikser slik de faktisk er, både IPv4 og IPv6, for en blokk som bare dekker IPv4, lar en husholdning som også ruter IPv6 stå helt åpen ved samme grense. Bestem deretter hvordan klienter får DNS, og om et unntak i resolveren bare eksponerer den tiltenkte tjenesten.

Dette er krav og ikke en universell oppskrift, for reglene avhenger av hvor VPN-en terminerer og hvor oversettelsen skjer. Unngå å legge til en bred tillatelse bare for å få den første nettleserforespørselen til å lykkes.

Hva du påtar deg, og hvordan du tester det

Å dele en utgang skaper en driftsrolle. Inviter folk gjennom tjenestens identitetsmodell, gjør fjerning praktisk, hold verten og ruteren vedlikeholdt, og bestem hvor mye av opplastingen din tjenesten kan bruke. Forespørsler forlater adressen din, så klager og omdømmeproblemer kommer til døren din selv når ingen privat enhet ble rørt. Et teknisk isoleringsdesign sier ingenting om den juridiske stillingen, og å begrense trafikk til vanlige webporter gjør ikke enhver tillatt aktivitet uskadelig.

Test deretter avvisningene med en autorisert klient i stedet for fra ruterens konsoll. Hvert av følgende må holde:

• Internettilgang fungerer fra gjestetunnelen.
• NAS og skrivere avvises etter adresse og etter navn.
• Ruteradministrasjon avvises fra tunneladressen.
• En annen invitert klient er utilgjengelig.
• Fjerning av klientens autorisasjon avslutter faktisk tilgangen.

Hvis eieren ikke kan vedlikeholde disse grensene og driftsoppgavene, undervurderer overleveringen av en konfigurasjonsfil hva ordningen krever av ham. Det er den ærlige beskrivelsen av tjenesten, og den hører hjemme i meldingen som reiser med konfigurasjonen.