Publisere en hjemme-VPN: hva du faktisk eksponerer

Du videresender én port for tunnelen og forteller deg selv at endringen er avgrenset. I praksis slipper porten bare pakker inn; det som ligger bak den, er eksponeringen. Tre ting avgjør den eksponeringen: sockelen som lytter på den offentlige siden, identiteten tunnelen godtar, og destinasjonene som identiteten deretter kan nå. Hver av dem trenger sitt eget svar, fordi et nøye valg i én ikke begrenser de andre.

Videresending av en port er ikke en tjeneste

En rutermregel flytter pakker mot en vert; den navngir ikke prosessen som leser dem. Videresendingssiden og den lyttende sockelen ligger på forskjellige steder, derfor kan en regel peke på en maskin som ikke lenger kjører tjenesten. For å finne ut hva som faktisk svarer, se på verten: ss -lntup lister opp hver lyttende sockel med prosessen som eier den. Match deretter prosessen med en komponent, en versjon og en eier.

Å fjerne regelen du husker at du lagde, lukker ikke døren. En UPnP-mapping kan ha lagt seg til selv, en IPv6-adresse kan forbli tilgjengelig etter at IPv4-oppføringen er borte, og en andre publiseringsmetode kan finnes på en annen maskin. Les ruterens UPnP-mappingliste samt de statiske oppføringene, og test deretter utenfra nettverket.

Innlogging er ikke en LAN-tillatelse

Tunnelen avgjør hvem som får koble til; ressursene avgjør hva en tilkoblet klient får åpne. NISTs nulltillitsveiledning gjør samme oppdeling på nettverksskala: en adresse beviser ingenting om autorisasjon. Gi én registrert bærbar PC én oppgave, for eksempel å lese en filutdeling på en navngitt vert, og skriv ned paret. En tunneladresse bør ikke arve administrator tilgang til resten av huset.

Undersøk også stiene som et sammendrag utelater: klient-til-klient-trafikk, bromedlemskap, internettvideresending og kildeoversettelse. Hver av dem kan knytte sammen to systemer som den skriftlige oppgaven din aldri nevner. Slå av dem oppgaven ikke trenger, og list deretter opp hva klienten fortsatt kan nå.

En ren skanning beviser svært lite

En åpen port er et faktum om én adresse og én protokoll; en vellykket innlogging er et faktum om én legitimasjon. Ingen av dem sier hva som skjer videre. Test den tiltenkte operasjonen på den tiltenkte verten, prøv deretter en identitet som aldri ble registrert, en tjeneste ingen godkjente, og administrasjonsgrensesnittet som skal forbli privat. Den siste testen er vanligvis den som feiler.

Test begge adressefamilier og hver sti du publiserer. En skanning av IPv4-adressen sier ingenting om en lyttende IPv6-tjeneste, og en intern test kan ikke se et NAT-loopback-problem eller et filter lenger oppe. Kjør minst én kontroll utenfra, på en forbindelse som ikke kommer tilbake gjennom samme ruter.

Skriv ned eksponeringen

En kort tabell gjør gjennomgangen til noe neste person kan revidere. Fyll den ut utenfra og inn, én rad per tilgjengelig tjeneste, og oppbevar den sammen med konfigurasjonen, ikke i en chatttråd. Hvis en rad ikke har noen eier, er det et funn.

Rader som bare sier «VPN» er ikke rader ennå. En rad trenger sockelen, verten, identiteten og destinasjonen, fordi det er det en revisor eller angriper ville teste.

Planlegg avviklingen før du trenger den

En tunnel du ikke kan tilbakekalle, er en permanent dør. Bestem på forhånd hvordan du tilbakekaller en enhetslegitimasjon, avslutter en aktiv økt og gjenoppretter tilgang etter at en oppgradering ødelegger tjenesten. Hold en gjenopprettingsrute som ikke går gjennom tunnelen, fordi tunnelen er det du skal reparere. Oppbevar den der du kan nå den uten den maskinen.

Gjennomgangen er ferdig når den tiltenkte destinasjonen virker og de uønskede ikke gjør det. Det er ikke en garanti for at ingen sårbarhet finnes, og en skanners grønne etikett erstatter ingen av delene. Overlever tabellen og gjenopprettingsnotatet til den som arver oppsettet.