Kućni VPN za prijatelje: podijelite izlaz, ne LAN

Reći da prijatelj može pregledavati preko vaše kućne veze nije isto što i reći da se može koristiti vašom kućnom mrežom, a jaz između te dvije rečenice sadrži NAS, pisače, administratorsku stranicu usmjerivača i svaki drugi uređaj na LAN-u. Svaki aranžman treba vlastita pravila prosljeđivanja. Većina incidenata sa zajedničkim VPN-om o kojima čujem nisu egzotični napadi; to je gost koji je došao do nečega jer nitko nije zapisao koja se granica kupuje. Odlučite koji ugovor nudite, a zatim ga izrazite u politici prosljeđivanja i pristupa, a ne u poruci.

Dva ugovora koja zvuče isto

Samo internet znači da promet pozvanog klijenta izlazi kroz vašu vezu i ništa dalje. Puni pristup znači da se isti klijent pridružuje i vašoj lokalnoj mreži, a taj drugi ugovor tiho uključuje prvi, pa tako ljudi upadaju u njega. Razlika se svodi na nekolicinu pravila prosljeđivanja, a to je i razlika između dijeljenja propusnosti i dijeljenja kuće. Zapišite ugovor prije nego dirnete vatrozid, jer pravilo koje dodate kasnije lakše je opravdati nego ukloniti.

Odaberite ugovor samo za internet osim ako nekome doista treba usluga na LAN-u, jer pravilo koje nikada niste napisali dopuštenje je koje nikada niste dali. Zatim provjerite koji ugovor provodi klijentski softver, jer zadana postavka punog tunela može tiho isporučiti širu.

Granica prva: kućna mreža

Gostujući promet uopće nema što raditi na kućnim mrežama. Odvojena VPN podmreža ili namjenski segment za hostanje olakšava izražavanje te politike, ali različito ime samo po sebi ništa ne provodi. Imenujte uređaj koji stvarno prenosi pakete i držite pravila prijelaza tamo, jer pravilo napisano na stroju koji ne prosljeđuje samo je ukras. Kada VPN radi na usmjerivaču, ta točka provedbe je vlastiti lanac prosljeđivanja usmjerivača.

Gostujuća mreža s izolacijom klijenata razumna je alternativa, pod uvjetom da VPN klijenti doista na nju dospiju. Obje izvedbe trebaju isti test s klijenta, a ne iz konzole.

Granica druga: host i ostali gosti

Klijentima treba VPN usluga i ništa drugo na stroju koji je pokreće, pa administrativni pristup ostaje zasebno dopuštenje. To je ono koje se najčešće daje slučajno, jer slušatelj tunela i administrativno sučelje stoje na istom računalu. Ako VPN završava na usmjerivaču, port tunela i web ili SSH sučelje različiti su subjekti i zaslužuju različita pravila. Pravilo koje štiti stranicu za prijavu nikada se ne smije čitati kao zabrana prosljeđivanja.

Pristup internetu također ne zahtijeva da jedan pozvani klijent dosegne drugoga. Skupovi za daljinski pristup često se ponašaju kao zajednički segment ako ne kažete drukčije, pa odluku učinite izričitom u konfiguraciji skupa. Za nekolicinu prijatelja izolacija je zadana vrijednost koju vrijedi odabrati.

Mapirajte putanje prije pisanja pravila

Samostalni uređaj ima dva odvojena skupa paketa za nadzor: one koji završavaju na njemu i one koje prosljeđuje u ime klijenta. CISA-ine mrežne smjernice tretiraju ulazne, izlazne i međumrežne putanje kao pristup koji treba opravdanje, što je ovdje ispravan okvir. Popišite kućne prefikse onakvima kakvi jesu, IPv4 i IPv6 oboje, jer blokada samo IPv4 ostavlja kućanstvo koje također usmjerava IPv6 potpuno otvorenim na istoj granici. Zatim odlučite kako klijenti dobivaju DNS i izlaže li bilo koja iznimka razrješivača samo namjeravanu uslugu.

To su zahtjevi, a ne univerzalni recept, jer pravila ovise o tome gdje VPN završava i gdje se događa prijevod. Izbjegnite dodavanje široke dozvole samo da bi prvi zahtjev preglednika uspio.

Što preuzimate i kako to testirati

Dijeljenje izlaza stvara operativnu ulogu. Pozovite ljude kroz identitetski model usluge, učinite uklanjanje praktičnim, održavajte host i usmjerivač te odlučite koliko vaše uzlazne brzine usluga smije koristiti. Zahtjevi odlaze s vaše adrese, pa pritužbe i problemi s reputacijom dolaze na vaša vrata čak i kada nije dodirnut nijedan privatni uređaj. Tehnička izvedba izolacije ne govori ništa o pravnom položaju, a ograničavanje prometa na uobičajene web portove ne čini svaku dopuštenu aktivnost bezopasnom.

Zatim testirajte odbijanja s ovlaštenim klijentom, a ne iz konzole usmjerivača. Svako od sljedećeg mora vrijediti:

• Pristup internetu radi s gostujućeg tunela.
• NAS i pisači odbijaju se po adresi i po imenu.
• Administracija usmjerivača odbija se s adrese tunela.
• Drugi pozvani klijent nije dostupan.
• Uklanjanje klijentove autorizacije doista prekida pristup.

Ako vlasnik ne može održavati te granice i operativne dužnosti, predaja konfiguracijske datoteke podcjenjuje ono što aranžman od njega traži. To je iskren opis usluge i pripada poruci koja putuje uz konfiguraciju.