साथीहरूका लागि घरायसी VPN: निर्गमन बाँड्नुहोस्, LAN होइन

साथीले तपाईंको घरको जडानबाट ब्राउज गर्न सक्छ भन्नु, उसले तपाईंको घरको नेटवर्क प्रयोग गर्न सक्छ भन्नु जस्तै होइन, र यी दुई वाक्यबीचको अन्तरमा NAS, प्रिन्टरहरू, राउटरको एडमिन पृष्ठ र LAN मा भएका अन्य सबै उपकरण पर्छन्। हरेक व्यवस्थालाई आफ्नै फरवार्डिङ नियमहरू चाहिन्छ। मैले सुन्ने साझा VPN घटनाहरूमध्ये अधिकांश अनौठा आक्रमण होइनन्; यो एक पाहुना हो जसले केहीमा पुग्यो किनभने कुन सीमा किनिन्छ भनेर कसैले लेखेन। तपाईं कुन सम्झौता दिइरहनुभएको छ निर्णय गर्नुहोस्, त्यसपछि त्यसलाई सन्देशमा होइन, फरवार्डिङ र पहुँच नीतिमा व्यक्त गर्नुहोस्।

उस्तै सुनिने दुई सम्झौता

इन्टरनेट मात्र भन्नाले आमन्त्रित ग्राहकको ट्राफिक तपाईंको जडानबाट बाहिर जान्छ र त्यसभन्दा बढी केही हुँदैन। पूर्ण पहुँच भन्नाले त्यही ग्राहक तपाईंको स्थानीय नेटवर्कमा पनि सामेल हुन्छ, र त्यो दोस्रो सम्झौताले पहिलोलाई चुपचाप समावेश गर्छ, र यसरी मानिसहरू त्यसमा चिप्लिन्छन्। फरक केही फरवार्डिङ नियमहरूमा आएर टुंगिन्छ, र यो ब्यान्डविथ बाँड्ने र घर बाँड्नेबीचको फरक पनि हो। फायरवाल छुनुअघि सम्झौता लेख्नुहोस्, किनभने पछि थपिएको नियम हटाउनुभन्दा न्यायोचित ठहराउन सजिलो हुन्छ।

कसैलाई साँच्चै LAN सेवा चाहिएन भने इन्टरनेट-मात्र सम्झौता छान्नुहोस्, किनभने तपाईंले कहिल्यै नलेखेको नियम कहिल्यै नदिएको अनुमति हो। त्यसपछि ग्राहक सफ्टवेयरले कुन सम्झौता लागू गर्छ जाँच्नुहोस्, किनभने फुल-टनेल पूर्वनिर्धारितले चुपचाप फराकिलो विकल्प दिन सक्छ।

सीमा एक: घरको नेटवर्क

पाहुना ट्राफिकको घरका नेटवर्कमा कुनै काम छैन। अलग VPN सबनेट वा समर्पित होस्टिङ खण्डले त्यो नीति व्यक्त गर्न सजिलो बनाउँछ, तर फरक नामले आफैंमा केही लागू गर्दैन। वास्तवमै प्याकेट सार्ने उपकरणको नाम दिनुहोस् र क्रसिङ नियमहरू त्यहीँ राख्नुहोस्, किनभने फरवार्ड नगर्ने मेसिनमा लेखिएको नियम सजावट मात्र हो। VPN राउटरमा चल्दा, त्यो प्रवर्तन बिन्दु राउटरको आफ्नै फरवार्ड चेन हो।

ग्राहक अलगावसहितको पाहुना नेटवर्क उचित विकल्प हो, यदि VPN ग्राहकहरू साँच्चै त्यसमा अवतरण हुन्छन् भने। दुवै डिजाइनलाई कन्सोलबाट होइन, ग्राहकबाट त्यही परीक्षण चाहिन्छ।

सीमा दुई: होस्ट र अन्य पाहुना

ग्राहकलाई VPN सेवा चाहिन्छ र त्यो चलाउने मेसिनमा अरू केही चाहिँदैन, त्यसैले व्यवस्थापन पहुँच अलग अनुमति रहन्छ। यही सबैभन्दा धेरै दुर्घटनावश दिइन्छ, किनभने टनेल सुन्ने र एडमिन इन्टरफेस एउटै बाकसमा हुन्छन्। यदि VPN राउटरमा अन्त्य हुन्छ भने, टनेल पोर्ट र वेब वा SSH इन्टरफेस फरक विषय हुन् र फरक नियमका योग्य छन्। लगइन पृष्ठ जोगाउने नियमलाई कहिल्यै फरवार्डिङमाथिको प्रतिबन्धका रूपमा पढ्नु हुँदैन।

इन्टरनेट पहुँचले पनि एक आमन्त्रित ग्राहकलाई अर्कोसम्म पुग्न दिनु आवश्यक ठान्दैन। रिमोट-पहुँच पूलहरू प्रायः साझा खण्डजस्तै व्यवहार गर्छन् जबसम्म तपाईं अन्यथा भन्नुहुन्न, त्यसैले पूल कन्फिगरेसनमा निर्णय स्पष्ट बनाउनुहोस्। केही साथीहरूका लागि, अलगाव नै छान्न लायक पूर्वनिर्धारित हो।

नियम लेख्नुअघि मार्गहरूको नक्सा बनाउनुहोस्

स्वतन्त्र उपकरणसँग निगरानीका लागि दुई अलग प्याकेट समूह हुन्छन्: जो त्यसमा अन्त्य हुन्छन् र जो यसले ग्राहकको तर्फबाट रिले गर्छ। CISA का नेटवर्क निर्देशिकाहरू इनबाउन्ड, आउटबाउन्ड र अन्तर-नेटवर्क मार्गहरूलाई न्यायोचितता चाहिने पहुँचका रूपमा लिन्छन्, र यहीँ त्यो सही ढाँचा हो। घरका प्रिफिक्सहरू जस्ता छन् त्यस्तै सूचीबद्ध गर्नुहोस्, IPv4 र IPv6 दुवै, किनभने IPv4 मात्र अवरुद्ध गर्दा IPv6 पनि रुट गर्ने घर त्यही सीमामा पूर्ण खुला रहन्छ। त्यसपछि ग्राहकहरूले DNS कसरी पाउँछन् र कुनै रिजोल्भर अपवादले मात्र इच्छित सेवा खोल्छ कि भनेर निर्णय गर्नुहोस्।

यी आवश्यकताहरू हुन्, सार्वभौमिक विधि होइन, किनभने नियमहरू VPN कहाँ अन्त्य हुन्छ र अनुवाद कहाँ हुन्छ भन्नेमा निर्भर छन्। पहिलो ब्राउजर अनुरोध सफल होस् भनेर मात्र फराकिलो अनुमति थप्नबाट बच्नुहोस्।

तपाईं के जिम्मा लिनुहुन्छ, र यसलाई कसरी परीक्षण गर्ने

निर्गमन बाँड्दा सञ्चालन भूमिका सिर्जना हुन्छ। मानिसहरूलाई सेवाको पहिचान मोडेलमार्फत आमन्त्रण गर्नुहोस्, हटाउने काम व्यावहारिक बनाउनुहोस्, होस्ट र राउटरको मर्मत गर्नुहोस्, र सेवाले तपाईंको अपलोडको कति प्रयोग गर्न सक्छ निर्णय गर्नुहोस्। अनुरोधहरू तपाईंको ठेगानाबाट बाहिर जान्छन्, त्यसैले कुनै निजी उपकरण छोइएको नभए पनि उजुरी र प्रतिष्ठाका समस्याहरू तपाईंको ढोकामा आउँछन्। प्राविधिक अलगाव डिजाइनले कानुनी स्थितिबारे केही भन्दैन, र ट्राफिकलाई सामान्य वेब पोर्टमा सीमित गर्नाले हरेक अनुमति प्राप्त गतिविधि हानिरहित बन्दैन।

त्यसपछि अस्वीकारहरू राउटर कन्सोलबाट होइन, अधिकृत ग्राहकबाट परीक्षण गर्नुहोस्। तलका प्रत्येक सत्य हुनुपर्छ:

• पाहुना टनेलबाट इन्टरनेट पहुँच काम गर्छ।
• NAS र प्रिन्टर ठेगाना र नामद्वारा अस्वीकार गरिन्छ।
• टनेल ठेगानाबाट राउटर प्रशासन अस्वीकार गरिन्छ।
• दोस्रो आमन्त्रित ग्राहक पुग्न सकिँदैन।
• ग्राहकको अनुमति हटाउँदा पहुँच साँच्चै अन्त्य हुन्छ।

यदि मालिकले ती सीमा र सञ्चालन कर्तव्यहरू कायम राख्न सक्दैन भने, कन्फिगरेसन फाइल हस्तान्तरण गर्नुले यो व्यवस्थाले उसबाट माग्ने कुरालाई कम आँक्छ। त्यो सेवाको इमानदार वर्णन हो, र त्यो कन्फिगरेसनसँगै यात्रा गर्ने सन्देशमा पर्छ।