VPN doméstica para amigos: compartilhe a saída, não a LAN

Dizer que um amigo pode navegar pela sua conexão doméstica não é o mesmo que dizer que ele pode usar a sua rede doméstica, e a lacuna entre essas duas frases contém o NAS, as impressoras, a página de administração do roteador e todos os outros dispositivos da LAN. Cada arranjo precisa das suas próprias regras de encaminhamento. A maioria dos incidentes de VPN compartilhada de que ouço falar não são ataques exóticos; é um convidado que chegou a algo porque ninguém anotou qual limite estava sendo comprado. Decida qual contrato você oferece e depois expresse-o na política de encaminhamento e acesso, não em uma mensagem.

Dois contratos que soam iguais

Somente internet significa que o tráfego do cliente convidado sai pela sua conexão e nada mais. Acesso total significa que o mesmo cliente também entra na sua rede local, e esse segundo contrato inclui silenciosamente o primeiro, e é assim que as pessoas escorregam para ele. A diferença se resume a um punhado de regras de encaminhamento, e também é a diferença entre compartilhar largura de banda e compartilhar uma casa. Escreva o contrato antes de tocar no firewall, porque uma regra adicionada depois é mais fácil de justificar do que de remover.

Escolha o contrato somente internet, a menos que alguém realmente precise de um serviço na LAN, porque uma regra que você nunca escreveu é uma permissão que você nunca concedeu. Depois verifique qual contrato o software do cliente implementa, porque um padrão de túnel completo pode entregar silenciosamente o mais amplo.

Limite um: a rede da casa

O tráfego de convidados não tem nada que fazer nas redes da casa. Uma sub-rede VPN separada ou um segmento de hospedagem dedicado tornam essa política mais fácil de expressar, mas o nome diferente não impõe nada por si só. Nomeie o dispositivo que realmente move os pacotes e mantenha as regras de travessia ali, porque uma regra escrita em uma máquina que não encaminha é decoração. Quando a VPN roda no roteador, esse ponto de aplicação é a própria cadeia de encaminhamento do roteador.

Uma rede de convidados com isolamento de clientes é uma alternativa razoável, desde que os clientes VPN realmente aterrissem nela. Ambos os desenhos precisam do mesmo teste a partir de um cliente e não do console.

Limite dois: o host e os outros convidados

Os clientes precisam do serviço VPN e de nada mais na máquina que o executa, então o acesso de gestão continua sendo uma permissão separada. É a que mais frequentemente é concedida por acidente, porque o ouvinte do túnel e a interface de administração ficam na mesma caixa. Se a VPN termina no roteador, a porta do túnel e a interface web ou SSH são sujeitos diferentes e merecem regras diferentes. Uma regra que protege uma página de login nunca deve ser lida como uma proibição de encaminhar.

O acesso à internet também não exige permitir que um cliente convidado alcance outro. Os pools de acesso remoto muitas vezes se comportam como um segmento compartilhado se você não disser o contrário, então torne a decisão explícita na configuração do pool. Para um punhado de amigos, o isolamento é o padrão que vale a pena escolher.

Mapeie os caminhos antes de escrever regras

Um dispositivo autônomo tem dois conjuntos separados de pacotes para policiar: os que terminam nele e os que ele retransmite em nome de um cliente. As diretrizes de rede da CISA tratam os caminhos de entrada, de saída e entre redes como acesso que precisa de justificativa, e essa é a estrutura correta aqui. Liste os prefixos da casa como eles realmente são, IPv4 e IPv6 ambos, porque um bloqueio apenas de IPv4 deixa uma casa que também roteia IPv6 completamente aberta no mesmo limite. Depois decida como os clientes obtêm DNS e se alguma exceção do resolvedor expõe apenas o serviço pretendido.

São requisitos e não uma receita universal, porque as regras dependem de onde a VPN termina e de onde a tradução acontece. Evite adicionar uma permissão ampla só para a primeira requisição do navegador ter sucesso.

O que você assume e como testar

Compartilhar uma saída cria um papel operacional. Convide as pessoas pelo modelo de identidade do serviço, torne a remoção prática, mantenha o host e o roteador e decida quanto do seu upload o serviço pode usar. As requisições saem do seu endereço, então reclamações e problemas de reputação chegam à sua porta mesmo quando nenhum dispositivo privado foi tocado. Um projeto técnico de isolamento não diz nada sobre a posição legal, e restringir o tráfego a portas web comuns não torna inofensiva toda atividade permitida.

Depois teste as recusas com um cliente autorizado e não a partir do console do roteador. Cada uma destas deve valer:

• O acesso à internet funciona a partir do túnel de convidado.
• O NAS e as impressoras são recusados por endereço e por nome.
• A administração do roteador é recusada a partir do endereço do túnel.
• Um segundo cliente convidado não é acessível.
• Remover a autorização do cliente realmente encerra o acesso.

Se o proprietário não consegue manter esses limites e as tarefas operacionais, entregar um arquivo de configuração subestima o que o arranjo exige dele. Essa é a descrição honesta do serviço, e ela pertence à mensagem que viaja com a configuração.