Publikowanie domowego VPN: co naprawdę ujawniasz

Przekierowujesz jeden port dla tunelu i wmawiasz sobie, że zmiana jest ograniczona. W praktyce port przepuszcza tylko pakiety; to, co stoi za nim, jest ekspozycją. Decydują o niej trzy rzeczy: gniazdo nasłuchujące po publicznej stronie, tożsamość akceptowana przez tunel oraz cele, do których ta tożsamość może następnie dotrzeć. Każda potrzebuje własnej odpowiedzi, bo staranny wybór w jednej nie ogranicza pozostałych.

Przekierowanie portu nie jest usługą

Reguła routera przenosi pakiety do hosta; nie nazywa procesu, który je czyta. Strona przekierowania i gniazdo nasłuchujące żyją w różnych miejscach, dlatego reguła może wskazywać maszynę, która nie uruchamia już usługi. Aby dowiedzieć się, co naprawdę odpowiada, zajrzyj na host: ss -lntup wymienia każde gniazdo nasłuchujące wraz z procesem, który je posiada. Następnie dopasuj ten proces do komponentu, wersji i właściciela.

Usunięcie reguły, którą pamiętasz, że utworzyłeś, nie zamyka drzwi. Mapowanie UPnP mogło dodać się samo, adres IPv6 może pozostać osiągalny po zniknięciu wpisu IPv4, a druga metoda publikacji może istnieć na innej maszynie. Przeczytaj listę mapowań UPnP routera oraz jego wpisy statyczne, a potem przetestuj z zewnątrz sieci.

Logowanie nie jest uprawnieniem LAN

Tunel decyduje, kto może się połączyć; zasoby decydują, co podłączony klient może otworzyć. Wytyczne NIST dotyczące zerowego zaufania stosują ten sam podział w skali sieci: adres niczego nie dowodzi w kwestii autoryzacji. Daj jednemu zarejestrowanemu laptopowi jedno zadanie, na przykład czytanie udziału plików na nazwanym hoście, i zapisz tę parę. Adres tunelu nie powinien dziedziczyć dostępu administratora do reszty domu.

Sprawdź też ścieżki, które podsumowanie pomija: ruch klient-klient, członkostwo w moście, przekierowanie do internetu i translację źródła. Każda może połączyć dwa systemy, których twoje pisemne zadanie nigdy nie wymienia. Wyłącz te, których zadanie nie potrzebuje, a następnie wypisz, do czego klient nadal może dotrzeć.

Czysty skan dowodzi bardzo niewiele

Otwarty port to fakt o jednym adresie i jednym protokole; udane logowanie to fakt o jednym poświadczeniu. Żaden z nich nie mówi, co dzieje się dalej. Przetestuj zamierzoną operację na zamierzonym hoście, potem spróbuj tożsamości, która nigdy nie została zarejestrowana, usługi, której nikt nie zatwierdził, i interfejsu zarządzania, który powinien pozostać prywatny. Ostatni test zwykle zawodzi.

Przetestuj obie rodziny adresów i każdą ścieżkę, którą publikujesz. Skan adresu IPv4 nic nie mówi o nasłuchującej usłudze IPv6, a test wewnętrzny nie zobaczy problemu pętli NAT ani filtra wyżej. Wykonaj co najmniej jedną kontrolę z zewnątrz, na połączeniu, które nie wraca przez ten sam router.

Zapisz ekspozycję

Krótka tabela zamienia przegląd w coś, co następna osoba może zaudytować. Wypełnij ją z zewnątrz do środka, jeden wiersz na osiągalną usługę, i trzymaj ją razem z konfiguracją, a nie w wątku czatu. Jeśli wiersz nie ma właściciela, to jest ustalenie.

Wiersze, które mówią tylko „VPN”, jeszcze nie są wierszami. Wiersz potrzebuje gniazda, hosta, tożsamości i celu, bo właśnie to sprawdziłby audytor albo atakujący.

Zaplanuj wycofanie, zanim będzie potrzebne

Tunel, którego nie możesz odwołać, jest trwałymi drzwiami. Z góry zdecyduj, jak odebrać poświadczenie urządzenia, zakończyć aktywną sesję i przywrócić dostęp po tym, jak aktualizacja zepsuje usługę. Utrzymuj ścieżkę odzyskiwania, która nie prowadzi przez tunel, bo to tunel będziesz naprawiać. Przechowuj ją tam, gdzie dotrzesz bez tej maszyny.

Przegląd jest skończony, gdy zamierzony cel działa, a niechciane nie. To nie jest gwarancja, że nie ma luki, i zielona etykieta skanera nie zastępuje żadnego z tych dwóch. Przekaż tabelę i notatkę o odzyskiwaniu temu, kto odziedziczy konfigurację.