Een thuis-VPN publiceren: wat je echt blootlegt

Je stuurt één poort door voor de tunnel en zegt tegen jezelf dat de wijziging beperkt is. In de praktijk laat de poort alleen pakketten door; wat erachter zit, is de blootstelling. Drie dingen bepalen die blootstelling: de socket die aan de openbare kant luistert, de identiteit die de tunnel accepteert en de bestemmingen die die identiteit daarna kan bereiken. Elk heeft een eigen antwoord nodig, want een zorgvuldige keuze bij het ene beperkt de andere niet.

Een poort doorsturen is geen dienst

Een routerregel verplaatst pakketten naar een host; ze noemt niet het proces dat ze leest. De doorstuurpagina en de luisterende socket leven op verschillende plekken, daarom kan een regel naar een machine wijzen die de dienst niet meer draait. Om erachter te komen wat werkelijk antwoordt, kijk je op de host: ss -lntup somt elke luisterende socket op met het proces dat hem bezit. Koppel dat proces daarna aan een component, een versie en een eigenaar.

De regel verwijderen die je je herinnert te hebben gemaakt, sluit de deur niet. Een UPnP-toewijzing kan zichzelf hebben toegevoegd, een IPv6-adres kan bereikbaar blijven nadat de IPv4-vermelding weg is, en een tweede publicatiemethode kan op een andere machine bestaan. Lees de UPnP-toewijzingslijst van de router en de statische vermeldingen, en test daarna van buiten het netwerk.

Inloggen is geen LAN-toestemming

De tunnel bepaalt wie mag verbinden; de bronnen bepalen wat een verbonden client mag openen. De zero-trustrichtlijn van NIST maakt dezelfde scheiding op netwerkschaal: een adres bewijst niets over autorisatie. Geef één geregistreerde laptop één taak, zoals het lezen van een bestandsshare op een genoemde host, en schrijf dat paar op. Een tunneladres mag geen beheerderstoegang tot de rest van het huis erven.

Onderzoek ook de paden die een samenvatting weglaat: client-naar-clientverkeer, bridgelidmaatschap, internetdoorsturing en bronvertaling. Elk kan twee systemen verbinden die je geschreven taak nooit noemt. Schakel de paden uit die de taak niet nodig heeft en som daarna op wat de client nog kan bereiken.

Een schone scan bewijst heel weinig

Een open poort is een feit over één adres en één protocol; een geslaagde login is een feit over één referentie. Geen van beide zegt wat er daarna gebeurt. Test de bedoelde handeling op de bedoelde host, probeer daarna een identiteit die nooit is geregistreerd, een dienst die niemand heeft goedgekeurd en de beheerinterface die privé hoort te blijven. De laatste test is meestal degene die mislukt.

Test beide adresfamilies en elk pad dat je publiceert. Een scan van het IPv4-adres zegt niets over een luisterende IPv6-dienst, en een interne test kan een NAT-loopbackprobleem of een filter verderop niet zien. Voer ten minste één controle van buitenaf uit, op een verbinding die niet via dezelfde router terugkomt.

Schrijf de blootstelling op

Een korte tabel maakt de beoordeling iets wat de volgende persoon kan auditen. Vul hem van buiten naar binnen in, één rij per bereikbare dienst, en bewaar hem bij de configuratie, niet in een chatthread. Als een rij geen eigenaar heeft, is dat een bevinding.

Rijen die alleen “de VPN” zeggen, zijn nog geen rijen. Een rij heeft de socket, de host, de identiteit en de bestemming nodig, want dat is wat een auditor of aanvaller zou testen.

Plan de uitfasering voordat je die nodig hebt

Een tunnel die je niet kunt intrekken, is een permanente deur. Bepaal vooraf hoe je een apparaatreferentie intrekt, een actieve sessie beëindigt en toegang herstelt nadat een upgrade de dienst breekt. Houd een herstelroute aan die niet door de tunnel loopt, want de tunnel is wat je gaat repareren. Bewaar hem waar je er zonder die machine bij kunt.

De beoordeling is klaar wanneer de bedoelde bestemming werkt en de ongewenste niet. Het is geen garantie dat er geen kwetsbaarheid bestaat, en het groene label van een scanner vervangt geen van beide. Geef de tabel en de herstelnotitie aan wie de opzet erft.