VPN acasă pentru prieteni: împărtășiți ieșirea, nu LAN-ul

A spune că un prieten poate naviga prin conexiunea ta de acasă nu este același lucru cu a spune că poate folosi rețeaua ta de acasă, iar diferența dintre aceste două propoziții conține NAS-ul, imprimantele, pagina de administrare a routerului și orice alt dispozitiv din LAN. Fiecare aranjament are nevoie de propriile reguli de redirecționare. Majoritatea incidentelor cu VPN partajat despre care aud nu sunt atacuri exotice; este un oaspete care a ajuns la ceva pentru că nimeni nu a notat ce limită se cumpără. Decide ce contract oferi, apoi exprimă-l în politica de redirecționare și acces, nu într-un mesaj.

Două contracte care sună la fel

Doar internet înseamnă că traficul clientului invitat iese prin conexiunea ta și nimic mai mult. Acces complet înseamnă că același client se alătură și rețelei tale locale, iar acel al doilea contract îl include în tăcere pe primul, și așa alunecă oamenii în el. Diferența se reduce la câteva reguli de redirecționare și este și diferența dintre a partaja lățimea de bandă și a partaja o casă. Scrie contractul înainte de a atinge firewall-ul, pentru că o regulă adăugată mai târziu este mai ușor de justificat decât de eliminat.

Alege contractul doar internet, dacă cineva nu are într-adevăr nevoie de un serviciu în LAN, pentru că o regulă pe care nu ai scris-o niciodată este o permisiune pe care nu ai acordat-o niciodată. Apoi verifică ce contract implementează software-ul client, pentru că o valoare implicită cu tunel complet poate livra în tăcere varianta mai largă.

Limita unu: rețeaua casei

Traficul oaspeților nu are ce căuta în rețelele casei. O subrețea VPN separată sau un segment de găzduire dedicat fac politica mai ușor de exprimat, dar numele diferit nu impune nimic de unul singur. Numește dispozitivul care chiar mută pachetele și păstrează regulile de traversare acolo, pentru că o regulă scrisă pe o mașină care nu redirecționează este doar decor. Când VPN-ul rulează pe router, acel punct de aplicare este chiar lanțul de redirecționare al routerului.

O rețea pentru oaspeți cu izolare a clienților este o alternativă rezonabilă, cu condiția ca clienții VPN să aterizeze într-adevăr pe ea. Ambele variante au nevoie de același test dintr-un client, nu din consolă.

Limita doi: gazda și ceilalți oaspeți

Clienții au nevoie de serviciul VPN și de nimic altceva pe mașina care îl rulează, așa că accesul de administrare rămâne o permisiune separată. Este cea mai des acordată din greșeală, pentru că ascultătorul tunelului și interfața de administrare stau pe aceeași cutie. Dacă VPN-ul se termină pe router, portul tunelului și interfața web sau SSH sunt subiecte diferite și merită reguli diferite. O regulă care protejează o pagină de autentificare nu trebuie citită niciodată ca o interdicție de redirecționare.

Accesul la internet nu cere nici să permiți unui client invitat să ajungă la altul. Pool-urile de acces de la distanță se comportă adesea ca un segment partajat dacă nu spui altfel, așa că fă decizia explicită în configurația pool-ului. Pentru câțiva prieteni, izolarea este valoarea implicită care merită aleasă.

Cartografiază căile înainte de a scrie reguli

Un dispozitiv autonom are două seturi separate de pachete de supravegheat: cele care se termină pe el și cele pe care le retransmite în numele unui client. Îndrumările de rețea ale CISA tratează căile de intrare, de ieșire și dintre rețele ca acces care are nevoie de justificare, iar acesta este cadrul corect aici. Listează prefixele casei așa cum sunt de fapt, IPv4 și IPv6 ambele, pentru că un bloc doar IPv4 lasă o casă care rutează și IPv6 complet deschisă la aceeași limită. Apoi decide cum obțin clienții DNS și dacă vreo excepție a resolverului expune doar serviciul dorit.

Acestea sunt cerințe, nu o rețetă universală, pentru că regulile depind de unde se termină VPN-ul și unde are loc traducerea. Evită să adaugi o permisiune largă doar pentru ca prima cerere a browserului să reușească.

Ce îți asumi și cum îl testezi

Partajarea unei ieșiri creează un rol operațional. Invită oamenii prin modelul de identitate al serviciului, fă eliminarea practică, întreține gazda și routerul și decide cât din uploadul tău poate folosi serviciul. Cererile pleacă de la adresa ta, așa că reclamațiile și problemele de reputație ajung la ușa ta chiar dacă nu a fost atins niciun dispozitiv privat. Un design tehnic de izolare nu spune nimic despre poziția legală, iar restricționarea traficului la porturi web obișnuite nu face fiecare activitate permisă inofensivă.

Apoi testează refuzurile cu un client autorizat, nu din consola routerului. Fiecare dintre următoarele trebuie să fie valabil:

• Accesul la internet funcționează din tunelul oaspetelui.
• NAS-ul și imprimantele sunt refuzate după adresă și după nume.
• Administrarea routerului este refuzată de la adresa tunelului.
• Un al doilea client invitat este inaccesibil.
• Eliminarea autorizării clientului chiar încheie accesul.

Dacă proprietarul nu poate întreține acele limite și sarcinile operaționale, predarea unui fișier de configurare subestimează ce îi cere aranjamentul. Aceasta este descrierea onestă a serviciului și aparține mesajului care călătorește cu configurația.