Thuis-VPN voor vrienden: deel de uitgang, niet het LAN

Zeggen dat een vriend via je thuisverbinding mag browsen is niet hetzelfde als zeggen dat hij je thuisnetwerk mag gebruiken, en de kloof tussen die twee zinnen bevat de NAS, de printers, de beheerpagina van de router en elk ander apparaat op het LAN. Elke regeling heeft eigen doorstuurstregels nodig. De meeste incidenten met gedeelde VPN waarover ik hoor zijn geen exotische aanvallen; het is een gast die iets bereikte omdat niemand opschreef welke grens werd gekocht. Bepaal welk contract je aanbiedt en druk het dan uit in doorstuur- en toegangsbeleid in plaats van in een bericht.

Twee contracten die hetzelfde klinken

Alleen internet betekent dat het verkeer van de uitgenodigde client via jouw verbinding naar buiten gaat en niets verder. Volledige toegang betekent dat dezelfde client ook lid wordt van je lokale netwerk, en dat tweede contract omvat stilzwijgend het eerste, en zo glijden mensen erin. Het verschil komt neer op een handvol doorstuurstregels, en het is ook het verschil tussen bandbreedte delen en een huis delen. Schrijf het contract op voordat je de firewall aanraakt, want een regel die je later toevoegt is makkelijker te rechtvaardigen dan te verwijderen.

Kies het alleen-internetcontract tenzij iemand echt een LAN-dienst nodig heeft, want een regel die je nooit schreef is een toestemming die je nooit gaf. Controleer daarna welk contract de clientsoftware implementeert, want een standaard met volledige tunnel kan stilzwijgend de bredere leveren.

Grens één: het huishoudnetwerk

Gastverkeer heeft helemaal niets op de huishoudnetwerken te zoeken. Een apart VPN-subnet of een toegewijd hostingsegment maakt dat beleid makkelijker uit te drukken, maar de andere naam dwingt op zichzelf niets af. Noem het apparaat dat de pakketten echt verplaatst en houd de kruisingsregels daar, want een regel op een machine die niet doorstuurt is decoratie. Als de VPN op de router draait, is dat handhavingspunt de eigen doorstuurketen van de router.

Een gastnetwerk met clientisolatie is een redelijk alternatief, mits de VPN-clients er echt op landen. Beide ontwerpen hebben dezelfde test van een client nodig, niet van de console.

Grens twee: de host en de andere gasten

Clients hebben de VPN-dienst nodig en niets anders op de machine die hem draait, dus beheerstoegang blijft een aparte toestemming. Die wordt het vaakst per ongeluk gegeven, omdat de tunnel-listener en de beheerinterface op dezelfde doos zitten. Als de VPN op de router eindigt, zijn de tunnelpoort en de web- of SSH-interface verschillende onderwerpen en verdienen ze verschillende regels. Een regel die een inlogpagina beschermt mag nooit als een verbod op doorsturen worden gelezen.

Internettoegang vereist ook niet dat je één uitgenodigde client een andere laat bereiken. Pools voor toegang op afstand gedragen zich vaak als een gedeeld segment tenzij je anders zegt, dus maak de beslissing expliciet in de poolconfiguratie. Voor een handvol vrienden is isolatie de standaard die het waard is om te kiezen.

Breng de paden in kaart voordat je regels schrijft

Een zelfstandig apparaat heeft twee afzonderlijke sets pakketten om te bewaken: die op hem eindigen en die hij namens een client doorstuurt. CISA's netwerkrichtlijnen behandelen inkomende, uitgaande en netwerkoverstijgende paden als toegang die rechtvaardiging nodig heeft, en dat is hier het juiste kader. Noem de huishoudprefixen zoals ze echt zijn, zowel IPv4 als IPv6, want een blok dat alleen IPv4 dekt laat een huishouden dat ook IPv6 routeert volledig open op dezelfde grens. Bepaal daarna hoe clients DNS krijgen en of een uitzondering in de resolver alleen de bedoelde dienst blootlegt.

Dit zijn vereisten en geen universeel recept, want de regels hangen af van waar de VPN eindigt en waar vertaling plaatsvindt. Vermijd een brede toestemming toe te voegen alleen om de eerste browseraanvraag te laten slagen.

Wat je op je neemt, en hoe je het test

Een uitgang delen creëert een operationele rol. Nodig mensen uit via het identiteitsmodel van de dienst, maak verwijderen praktisch, houd de host en de router onderhouden en bepaal hoeveel van je upload de dienst mag gebruiken. Verzoeken vertrekken vanaf jouw adres, dus klachten en reputatieproblemen komen bij jou aan de deur, zelfs als geen enkel privéapparaat is aangeraakt. Een technisch isolatieontwerp zegt niets over de juridische positie, en verkeer beperken tot gangbare webpoorten maakt niet elke toegestane activiteit onschadelijk.

Test daarna de weigeringen met een geautoriseerde client in plaats van vanaf de routerconsole. Elk van het volgende moet gelden:

• Internettoegang werkt vanaf de gasttunnel.
• NAS en printers worden geweigerd op adres en op naam.
• Routerbeheer wordt geweigerd vanaf het tunneladres.
• Een tweede uitgenodigde client is onbereikbaar.
• Het verwijderen van de autorisatie van de client beëindigt de toegang echt.

Als de eigenaar die grenzen en de operationele taken niet kan onderhouden, onderschat het overhandigen van een configuratiebestand wat de regeling van hem vraagt. Dat is de eerlijke beschrijving van de dienst, en die hoort in het bericht dat met de configuratie meereist.