Домашний VPN для друзей: делитесь выходом, а не LAN

Сказать, что друг может просматривать сайты через ваше домашнее подключение, — не то же самое, что сказать, что он может пользоваться вашей домашней сетью, и промежуток между этими двумя фразами включает NAS, принтеры, страницу администрирования роутера и все остальные устройства в LAN. Каждой договорённости нужны собственные правила переадресации. Большинство известных мне инцидентов с общим VPN — не экзотические атаки; это гость, который добрался до чего-то, потому что никто не записал, какая граница покупается. Решите, какой договор вы предлагаете, и выразите его в политике переадресации и доступа, а не в сообщении.

Два договора, которые звучат одинаково

Только интернет означает, что трафик приглашённого клиента уходит через ваше подключение и ничего дальше. Полный доступ означает, что тот же клиент подключается и к вашей локальной сети, и этот второй договор молча включает первый, и так люди в него втягиваются. Разница сводится к нескольким правилам переадресации, и это также разница между совместным использованием канала и совместным использованием дома. Запишите договор до того, как трогать межсетевой экран, потому что добавленное позже правило легче обосновать, чем удалить.

Выберите договор «только интернет», если кому-то действительно не нужен сервис в LAN, потому что правило, которое вы никогда не писали, — это разрешение, которое вы никогда не давали. Затем проверьте, какой договор реализует клиентское программное обеспечение, потому что настройка по умолчанию с полным туннелем может тихо предоставить более широкий.

Граница первая: домашняя сеть

Гостевому трафику совершенно нечего делать в домашних сетях. Отдельная подсеть VPN или выделенный сегмент хостинга упрощают выражение этой политики, но другое имя само по себе ничего не обеспечивает. Назовите устройство, которое действительно перемещает пакеты, и держите правила пересечения там, потому что правило на машине, которая не пересылает, — это украшение. Когда VPN работает на роутере, этой точкой исполнения является собственная цепочка переадресации роутера.

Гостевая сеть с изоляцией клиентов — разумная альтернатива, при условии, что клиенты VPN действительно на ней оказываются. Обе схемы требуют одной и той же проверки с клиента, а не с консоли.

Граница вторая: хост и другие гости

Клиентам нужен только сервис VPN и ничего больше на машине, которая его запускает, поэтому административный доступ остаётся отдельным разрешением. Именно его чаще всего выдают случайно, потому что слушатель туннеля и интерфейс администрирования находятся на одном устройстве. Если VPN завершается на роутере, порт туннеля и веб- или SSH-интерфейс — разные субъекты и заслуживают разных правил. Правило, защищающее страницу входа, никогда не должно читаться как запрет на переадресацию.

Доступ в интернет также не требует разрешать одному приглашённому клиенту достигать другого. Пул удалённого доступа часто ведёт себя как общий сегмент, если не указать иное, поэтому сделайте решение явным в конфигурации пула. Для нескольких друзей изоляция — вариант по умолчанию, который стоит выбрать.

Нанесите пути на карту до того, как писать правила

У автономного устройства два отдельных набора пакетов под наблюдением: те, что завершаются на нём, и те, что оно пересылает от имени клиента. Сетевые рекомендации CISA рассматривают входящие, исходящие и межсетевые пути как доступ, требующий обоснования, и здесь это правильная рамка. Перечислите домашние префиксы такими, какие они есть, IPv4 и IPv6 оба, потому что блокировка только IPv4 оставляет дом, который также маршрутизирует IPv6, полностью открытым на той же границе. Затем решите, как клиенты получают DNS и не открывает ли какое-либо исключение резолвера только предназначенный сервис.

Это требования, а не универсальный рецепт, потому что правила зависят от того, где завершается VPN и где происходит трансляция. Избегайте добавления широкого разрешения только ради того, чтобы первый запрос браузера прошёл.

Что вы берёте на себя и как это проверить

Совместное использование выхода создаёт эксплуатационную роль. Приглашайте людей через модель идентичности сервиса, сделайте удаление практичным, поддерживайте хост и роутер и решите, какую часть вашей отдачи сервис может использовать. Запросы уходят с вашего адреса, поэтому жалобы и проблемы с репутацией приходят к вашей двери, даже если ни одно частное устройство не было затронуто. Технический проект изоляции ничего не говорит о правовом положении, а ограничение трафика обычными веб-портами не делает каждое разрешённое действие безвредным.

Затем проверьте отказы с авторизованного клиента, а не из консоли роутера. Каждое из следующего должно выполняться:

• Доступ в интернет работает из гостевого туннеля.
• NAS и принтеры отклоняются по адресу и по имени.
• Администрирование роутера отклоняется с адреса туннеля.
• Второй приглашённый клиент недоступен.
• Удаление авторизации клиента действительно прекращает доступ.

Если владелец не может поддерживать эти границы и эксплуатационные обязанности, передача файла конфигурации недооценивает то, чего требует от него эта договорённость. Это честное описание сервиса, и оно принадлежит сообщению, которое путешествует вместе с конфигурацией.