Publicar uma VPN doméstica: o que você realmente expõe

Você encaminha uma porta para o túnel e diz a si mesmo que a mudança é limitada. Na prática, a porta só admite pacotes; o que está por trás dela é a exposição. Três coisas decidem essa exposição: o socket que escuta no lado público, a identidade que o túnel aceita e os destinos que essa identidade pode alcançar depois. Cada uma precisa da própria resposta, porque uma escolha cuidadosa em uma não restringe as outras.

Encaminhar uma porta não é um serviço

Uma regra do roteador move pacotes para um host; ela não nomeia o processo que os lê. A página de encaminhamento e o socket que escuta vivem em lugares diferentes, por isso uma regra pode apontar para uma máquina que não executa mais o serviço. Para descobrir o que realmente responde, olhe no host: ss -lntup lista cada socket que escuta com o processo que o possui. Depois associe esse processo a um componente, uma versão e um proprietário.

Remover a regra que você lembra ter criado não fecha a porta. Um mapeamento UPnP pode ter se adicionado sozinho, um endereço IPv6 pode continuar acessível depois que a entrada IPv4 desaparecer, e um segundo método de publicação pode existir em outra máquina. Leia a lista de mapeamentos UPnP do roteador e suas entradas estáticas, depois teste de fora da rede.

Login não é permissão de LAN

O túnel decide quem pode se conectar; os recursos decidem o que um cliente conectado pode abrir. O guia de confiança zero do NIST faz a mesma separação em escala de rede: um endereço não prova nada sobre autorização. Dê a um laptop inscrito uma tarefa, como ler um compartilhamento de arquivos em um host nomeado, e anote esse par. Um endereço de túnel não deve herdar acesso de administrador ao resto da casa.

Inspecione também os caminhos que um resumo omite: tráfego de cliente para cliente, participação na ponte, encaminhamento para a internet e tradução de origem. Cada um pode unir dois sistemas que sua tarefa escrita nunca menciona. Desligue os que a tarefa não precisa e depois liste o que o cliente ainda pode alcançar.

Uma varredura limpa prova muito pouco

Uma porta aberta é um fato sobre um endereço e um protocolo; um login bem-sucedido é um fato sobre uma credencial. Nenhum dos dois diz o que acontece depois. Teste a operação pretendida no host pretendido, depois tente uma identidade que nunca foi inscrita, um serviço que ninguém aprovou e a interface de gerenciamento que deveria permanecer privada. O último teste costuma ser o que falha.

Teste as duas famílias de endereços e cada caminho que você publica. Uma varredura do endereço IPv4 não diz nada sobre um serviço IPv6 que escuta, e um teste interno não consegue ver um problema de loopback NAT nem um filtro anterior. Execute pelo menos uma verificação de fora, em uma conexão que não volte pelo mesmo roteador.

Escreva a exposição

Uma tabela curta transforma a revisão em algo que a próxima pessoa pode auditar. Preencha-a de fora para dentro, uma linha por serviço acessível, e guarde-a com a configuração, não em uma conversa. Se uma linha não tiver proprietário, isso é um achado.

Linhas que dizem apenas “a VPN” ainda não são linhas. Uma linha precisa do socket, do host, da identidade e do destino, porque é isso que um auditor ou atacante testaria.

Planeje a retirada antes de precisar dela

Um túnel que você não pode revogar é uma porta permanente. Decida com antecedência como retirar uma credencial de dispositivo, encerrar uma sessão ativa e restaurar o acesso depois que uma atualização quebrar o serviço. Mantenha uma rota de recuperação que não passe pelo túnel, porque o túnel é o que você vai consertar. Guarde-a onde possa chegar sem essa máquina.

A revisão termina quando o destino pretendido funciona e os indesejados não. Não é uma garantia de que não exista vulnerabilidade, e o rótulo verde de um scanner não substitui nenhum dos dois. Entregue a tabela e a nota de recuperação a quem herdar a configuração.