Domowy VPN dla znajomych: dziel wyjście, nie LAN

Powiedzenie, że znajomy może przeglądać przez twoje domowe łącze, nie jest tym samym co powiedzenie, że może używać twojej sieci domowej, a luka między tymi dwoma zdaniami zawiera NAS, drukarki, stronę administracyjną routera i każde inne urządzenie w LAN. Każdy układ potrzebuje własnych reguł przekazywania. Większość znanych mi incydentów ze współdzielonym VPN to nie egzotyczne ataki; to gość, który coś osiągnął, bo nikt nie zapisał, jaka granica jest kupowana. Zdecyduj, jaką umowę oferujesz, a potem wyraź ją w polityce przekazywania i dostępu, a nie w wiadomości.

Dwie umowy, które brzmią tak samo

Tylko internet oznacza, że ruch zaproszonego klienta wychodzi przez twoje łącze i nic więcej. Pełny dostęp oznacza, że ten sam klient dołącza także do twojej sieci lokalnej, a ta druga umowa po cichu zawiera pierwszą, i tak ludzie w nią wpadają. Różnica sprowadza się do kilku reguł przekazywania, a to także różnica między dzieleniem pasma a dzieleniem domu. Zapisz umowę, zanim dotkniesz zapory, bo regułę dodaną później łatwiej uzasadnić niż usunąć.

Wybierz umowę tylko z internetem, chyba że ktoś naprawdę potrzebuje usługi w LAN, bo reguła, której nigdy nie napisałeś, jest zgodą, której nigdy nie dałeś. Potem sprawdź, jaką umowę realizuje oprogramowanie klienta, bo domyślne ustawienie pełnego tunelu może po cichu dostarczyć szerszą.

Granica pierwsza: sieć domowa

Ruch gości nie ma czego szukać w sieciach domowych. Osobna podsieć VPN lub dedykowany segment hostingu ułatwiają wyrażenie tej polityki, ale inna nazwa sama w sobie niczego nie wymusza. Nazwij urządzenie, które faktycznie przenosi pakiety, i trzymaj tam reguły przejścia, bo reguła zapisana na maszynie, która nie przekazuje, jest dekoracją. Gdy VPN działa na routerze, tym punktem egzekwowania jest własny łańcuch przekazywania routera.

Sieć gościnna z izolacją klientów jest rozsądną alternatywą, pod warunkiem że klienci VPN rzeczywiście na niej lądują. Oba projekty potrzebują tego samego testu z klienta, a nie z konsoli.

Granica druga: host i pozostali goście

Klienci potrzebują usługi VPN i niczego więcej na maszynie, która ją uruchamia, więc dostęp administracyjny pozostaje osobnym uprawnieniem. To właśnie ono jest najczęściej przyznawane przez pomyłkę, bo nasłuch tunelu i interfejs administracyjny siedzą na tym samym pudełku. Jeśli VPN kończy się na routerze, port tunelu i interfejs webowy lub SSH to różne podmioty i zasługują na różne reguły. Reguły chroniącej stronę logowania nigdy nie należy czytać jako zakazu przekazywania.

Dostęp do internetu także nie wymaga pozwolenia jednemu zaproszonemu klientowi na dotarcie do drugiego. Pule dostępu zdalnego często zachowują się jak wspólny segment, jeśli nie powiesz inaczej, więc uczyń decyzję jawną w konfiguracji puli. Dla kilku znajomych izolacja jest domyślnym wyborem, który warto podjąć.

Zmapuj ścieżki, zanim napiszesz reguły

Samodzielne urządzenie ma dwa osobne zestawy pakietów do pilnowania: te, które kończą się na nim, i te, które przekazuje w imieniu klienta. Wytyczne sieciowe CISA traktują ścieżki przychodzące, wychodzące i między sieciami jako dostęp wymagający uzasadnienia, i to jest tu właściwe ramy. Wymień prefiksy domowe takie, jakie są naprawdę, IPv4 i IPv6 oba, bo blok tylko IPv4 zostawia dom, który również routuje IPv6, całkowicie otwarty na tej samej granicy. Potem zdecyduj, jak klienci otrzymują DNS i czy jakikolwiek wyjątek resolwera odsłania tylko zamierzoną usługę.

To wymagania, a nie uniwersalny przepis, bo reguły zależą od tego, gdzie kończy się VPN i gdzie zachodzi tłumaczenie. Unikaj dodawania szerokiego zezwolenia tylko po to, by pierwsze żądanie przeglądarki się powiodło.

Co bierzesz na siebie i jak to testować

Współdzielenie wyjścia tworzy rolę operacyjną. Zapraszaj ludzi przez model tożsamości usługi, uczyń usuwanie praktycznym, utrzymuj host i router oraz zdecyduj, ile twojego uploadu usługa może wykorzystać. Żądania wychodzą z twojego adresu, więc skargi i problemy z reputacją trafiają pod twoje drzwi, nawet gdy nie dotknięto żadnego prywatnego urządzenia. Techniczny projekt izolacji nic nie mówi o sytuacji prawnej, a ograniczenie ruchu do typowych portów internetowych nie czyni każdej dozwolonej czynności nieszkodliwą.

Potem przetestuj odmowy z autoryzowanego klienta, a nie z konsoli routera. Każde z poniższych musi zachodzić:

• Dostęp do internetu działa z tunelu gościa.
• NAS i drukarki są odrzucane po adresie i po nazwie.
• Administracja routera jest odrzucana z adresu tunelu.
• Drugi zaproszony klient jest nieosiągalny.
• Usunięcie autoryzacji klienta naprawdę kończy dostęp.

Jeśli właściciel nie potrafi utrzymać tych granic i obowiązków operacyjnych, przekazanie pliku konfiguracji nie docenia tego, czego wymaga od niego ten układ. To uczciwy opis usługi i należy do wiadomości, która podróżuje z konfiguracją.