Heime-VPN for vener: del utgangen, ikkje LAN-et

Å seie at ein ven kan surfe gjennom heimtilkoplinga di er ikkje det same som å seie at han kan bruke heimenettverket ditt, og gapet mellom dei to setningane inneheld NAS-en, skrivarane, admin-sida til rutaren og alle andre einingar på LAN-et. Kvar ordning treng sine eigne videresendingsreglar. Dei fleste hendingane med delt VPN eg høyrer om, er ikkje eksotiske åtak; det er ein gjest som nådde noko fordi ingen skreiv ned kva grense som vart kjøpt. Avgjer kva kontrakt du tilbyr, og uttrykk henne deretter i videresendings- og tilgangspolitikk i staden for i ei melding.

To kontraktar som høyrest like ut

Berre internett tyder at trafikken til den inviterte klienten forlèt gjennom tilkoplinga di og ingenting vidare. Full tilgang tyder at same klient òg blir med i det lokale nettverket ditt, og den andre kontrakten omfattar stille den første, og slik glir folk inn i han. Skilnaden kokar ned til ein handfull videresendingsreglar, og det er òg skilnaden mellom å dele bandbreidd og å dele eit hus. Skriv ned kontrakten før du rører brannmuren, for ein regel du legg til etterpå er lettare å grunngje enn å fjerne.

Vel kontrakten med berre internett med mindre nokon verkeleg treng ein LAN-teneste, for ein regel du aldri skreiv, er ei løyve du aldri gav. Sjekk deretter kva kontrakt klientprogramvara implementerer, for ein standard med full tunnel kan stille levere den breiare.

Grense éin: hushaldet sitt nettverk

Gjestetrafikk har slett ingenting på hushaldet sine nettverk å gjere. Eit eige VPN-subnett eller eit dedikert hostingsegment gjer den politikken lettare å uttrykkje, men det annleis namnet handhevar ingenting i seg sjølv. Namngje eininga som faktisk flyttar pakkane, og hald kryssingsreglane der, for ein regel skriven på ein maskin som ikkje videresender, er dekorasjon. Når VPN-en køyrer på rutaren, er handhevingspunktet rutaren sin eigen videresendingskjede.

Eit gjestenettverk med klientisolering er eit rimeleg alternativ, føresett at VPN-klientane faktisk landar på det. Begge designa treng den same testen frå ein klient i staden for frå konsollen.

Grense to: verten og dei andre gjestene

Klientar treng VPN-tenesta og ingenting anna på maskinen som køyrer henne, så administrasjonstilgang blir verande ei eiga løyve. Det er den som oftast blir gitt ved uhell, fordi tunnel-lyttaren og administrasjonsgrensesnittet sit på same boks. Viss VPN-en terminerer på rutaren, er tunnelporten og web- eller SSH-grensesnittet ulike emne og fortener ulike reglar. Ein regel som vaktar ei innloggingsside bør aldri lesast som eit forbod mot videresending.

Internettilgang krev heller ikkje å la éin invitert klient nå ein annan. Fjerntilgangsbasseng oppfører seg ofte som eit delt segment med mindre du seier noko anna, så gjer avgjerda eksplisitt i bassengkonfigurasjonen. For ein handfull vener er isolering standardvalet som er verdt å ta.

Kartlegg stiane før du skriv reglar

Eit frittståande apparat har to separate sett med pakkar å overvake: dei som terminerer på det, og dei det videresender på vegner av ein klient. CISAs nettverksrettleiing behandlar innkommande, utgåande og nettverksinterne stiar som tilgang som treng grunngjeving, og det er den rette ramma her. List opp hushaldet sine prefiks slik dei faktisk er, både IPv4 og IPv6, for ein blokk som berre dekkjer IPv4, lèt eit hushald som òg rutar IPv6 stå heilt ope ved same grense. Avgjer deretter korleis klientar får DNS, og om eit unntak i resolvaren berre eksponerer den tiltenkte tenesta.

Dette er krav og ikkje ei universell oppskrift, for reglane avheng av kvar VPN-en terminerer og kvar omsetjinga skjer. Unngå å leggje til ei brei løyve berre for å få den første nettlesarførespurnaden til å lukkast.

Kva du påtek deg, og korleis du testar det

Å dele ein utgang skaper ei driftsrolle. Inviter folk gjennom identitetsmodellen til tenesta, gjer fjerning praktisk, hald verten og rutaren vedlikehaldne, og avgjer kor mykje av opplastinga di tenesta kan bruke. Førespurnader forlèt adressa di, så klager og omdømmeproblem kjem til døra di sjølv når inga privat eining vart rørt. Eit teknisk isoleringsdesign seier ingenting om den juridiske stillinga, og å avgrense trafikk til vanlege webportar gjer ikkje kvar tillaten aktivitet uskadeleg.

Test deretter avvisingane med ein autorisert klient i staden for frå rutarkonsollen. Kvart av følgjande må halde:

• Internettilgang fungerer frå gjestetunnelen.
• NAS og skrivarar blir avviste etter adresse og etter namn.
• Rutaradministrasjon blir avvist frå tunneladressa.
• Ein annan invitert klient er utilgjengeleg.
• Fjerning av klienten si autorisasjon avsluttar faktisk tilgangen.

Viss eigaren ikkje kan vedlikehalde desse grensene og driftsoppgåvene, undervurderer overleveringa av ei konfigurasjonsfil kva ordninga krev av han. Det er den ærlege skildringa av tenesta, og ho høyrer heime i meldinga som reiser med konfigurasjonen.