Publicarea unui VPN de acasă: ce expui de fapt

Redirecționezi un port pentru tunel și îți spui că schimbarea este limitată. În practică portul admite doar pachete; ceea ce se află în spatele lui este expunerea. Trei lucruri decid această expunere: socketul care ascultă pe partea publică, identitatea pe care tunelul o acceptă și destinațiile pe care acea identitate le poate atinge apoi. Fiecare are nevoie de propriul răspuns, pentru că o alegere atentă într-una nu le constrânge pe celelalte.

Redirecționarea unui port nu este un serviciu

O regulă a routerului mută pachete spre un host; ea nu numește procesul care le citește. Pagina de redirecționare și socketul care ascultă trăiesc în locuri diferite, de aceea o regulă poate indica o mașină care nu mai rulează serviciul. Pentru a afla ce răspunde de fapt, uită-te pe host: ss -lntup listează fiecare socket care ascultă împreună cu procesul care îl deține. Apoi potrivește procesul cu o componentă, o versiune și un proprietar.

Ștergerea regulii pe care îți amintești că ai creat-o nu închide ușa. O mapare UPnP s-ar putea să se fi adăugat singură, o adresă IPv6 poate rămâne accesibilă după ce intrarea IPv4 dispare, iar o a doua metodă de publicare poate exista pe altă mașină. Citește lista de mapări UPnP a routerului și intrările sale statice, apoi testează din afara rețelei.

Autentificarea nu este o permisiune LAN

Tunelul decide cine se poate conecta; resursele decid ce poate deschide un client conectat. Ghidul NIST privind încrederea zero face aceeași separare la scară de rețea: o adresă nu dovedește nimic despre autorizare. Dă unui laptop înregistrat o singură sarcină, cum ar fi citirea unei partajări de fișiere pe un host numit, și notează acea pereche. O adresă de tunel nu ar trebui să moștenească accesul de administrator la restul casei.

Inspectează și căile pe care un rezumat le omite: traficul client-la-client, apartenența la punte, redirecționarea către internet și traducerea sursei. Fiecare poate uni două sisteme pe care sarcina ta scrisă nu le menționează niciodată. Oprește-le pe cele de care sarcina nu are nevoie, apoi enumeră unde mai poate ajunge clientul.

O scanare curată dovedește foarte puțin

Un port deschis este un fapt despre o adresă și un protocol; o autentificare reușită este un fapt despre o acreditare. Niciuna nu spune ce se întâmplă mai departe. Testează operațiunea dorită pe hostul dorit, apoi încearcă o identitate care nu a fost niciodată înregistrată, un serviciu pe care nimeni nu l-a aprobat și interfața de administrare care ar trebui să rămână privată. Ultimul test este de obicei cel care eșuează.

Testează ambele familii de adrese și fiecare cale pe care o publici. O scanare a adresei IPv4 nu spune nimic despre un serviciu IPv6 care ascultă, iar un test intern nu poate vedea o problemă de buclă NAT sau un filtru din amonte. Rulează cel puțin o verificare din exterior, pe o conexiune care nu se întoarce prin același router.

Scrie expunerea

Un tabel scurt transformă verificarea în ceva ce următoarea persoană poate audita. Completează-l din exterior spre interior, un rând pentru fiecare serviciu accesibil, și păstrează-l împreună cu configurația, nu într-un fir de chat. Dacă un rând nu are proprietar, aceasta este o constatare.

Rândurile care spun doar „VPN” încă nu sunt rânduri. Un rând are nevoie de socket, host, identitate și destinație, pentru că exact asta ar testa un auditor sau un atacator.

Planifică retragerea înainte de a avea nevoie de ea

Un tunel pe care nu îl poți revoca este o ușă permanentă. Decide dinainte cum retragi o acreditare de dispozitiv, închei o sesiune activă și restaurezi accesul după ce o actualizare strică serviciul. Păstrează o rută de recuperare care nu trece prin tunel, pentru că tunelul este ceea ce vei repara. Depoziteaz-o unde poți ajunge fără acea mașină.

Verificarea este terminată când destinația dorită funcționează, iar cele nedorite nu. Nu este o garanție că nu există vulnerabilități, iar eticheta verde a unui scaner nu înlocuiește niciuna dintre ele. Predă tabelul și nota de recuperare celui care moștenește configurația.