Domáce VPN pre priateľov: zdieľajte východ, nie LAN

Povedať, že priateľ môže prehliadať cez vaše domáce pripojenie, nie je to isté ako povedať, že môže používať vašu domácu sieť, a medzera medzi týmito dvoma vetami obsahuje NAS, tlačiarne, administračnú stránku routera a každé ďalšie zariadenie v LAN. Každé usporiadanie potrebuje vlastné pravidlá presmerovania. Väčšina incidentov so zdieľanou VPN, o ktorých počujem, nie sú exotické útoky; je to hosť, ktorý sa dostal k niečomu, pretože nikto nezapísal, ktorá hranica sa kupuje. Rozhodnite, akú zmluvu ponúkate, a potom ju vyjadrite v politike presmerovania a prístupu, nie v správe.

Dve zmluvy, ktoré znejú rovnako

Len internet znamená, že prevádzka pozvaného klienta vychádza cez vaše pripojenie a nič viac. Plný prístup znamená, že ten istý klient sa pripojí aj k vašej miestnej sieti, a táto druhá zmluva ticho zahŕňa prvú, a tak do nej ľudia zabŕdnu. Rozdiel sa zužuje na hrsť pravidiel presmerovania a je to aj rozdiel medzi zdieľaním šírky pásma a zdieľaním domu. Zapíšte zmluvu, skôr než sa dotknete firewallu, pretože pravidlo pridané neskôr sa ľahšie ospravedlní, než odstráni.

Zvoľte zmluvu len pre internet, ak niekto skutočne nepotrebuje službu v LAN, pretože pravidlo, ktoré ste nikdy nenapísali, je povolenie, ktoré ste nikdy nedali. Potom skontrolujte, ktorú zmluvu implementuje klientsky softvér, pretože predvolené nastavenie plného tunela môže ticho doručiť širšiu.

Hranica prvá: domáca sieť

Hosťovská prevádzka nemá v domácich sieťach čo robiť. Samostatná pods sieť VPN alebo vyhradený segment hostingu uľahčujú vyjadrenie tejto politiky, ale iné meno samo o sebe nič nevynucuje. Pomenujte zariadenie, ktoré skutočne presúva pakety, a držte pravidlá prechodu tam, pretože pravidlo napísané na stroji, ktorý nepresmerúva, je dekorácia. Keď VPN beží na routeri, tým miestom vynútenia je vlastný reťazec presmerovania routera.

Hosťovská sieť s izoláciou klientov je rozumná alternatíva, ak na ňu klienti VPN skutočne pristanú. Oba návrhy potrebujú rovnaký test z klienta, nie z konzoly.

Hranica druhá: hostiteľ a ostatní hostia

Klienti potrebujú službu VPN a nič iné na stroji, ktorý ju spúšťa, takže administratívny prístup zostáva samostatným povolením. Práve to sa najčastejšie udeľuje omylom, pretože poslucháč tunela a administratívne rozhranie sedia na tej istej krabici. Ak VPN končí na routeri, port tunela a webové alebo SSH rozhranie sú rôzne subjekty a zaslúžia si rôzne pravidlá. Pravidlo, ktoré chráni prihlasovaciu stránku, sa nikdy nesmie čítať ako zákaz presmerovania.

Prístup na internet tiež nevyžaduje, aby jeden pozvaný klient dosiahol druhého. Puly vzdialeného prístupu sa často správajú ako zdieľaný segment, ak neustanovíte inak, preto urobte rozhodnutie explicitným v konfigurácii puly. Pre hrsť priateľov je izolácia predvolená hodnota, ktorú sa oplatí zvoliť.

Zmapujte cesty, skôr než napíšete pravidlá

Samostatné zariadenie má dve oddelené sady paketov na dohľad: tie, ktoré na ňom končia, a tie, ktoré preposiela v mene klienta. Sieťové usmernenia CISA považujú prichádzajúce, odchádzajúce a medzisieťové cesty za prístup, ktorý potrebuje odôvodnenie, a to je tu správny rámec. Vymenujte domáce prefixy také, aké sú v skutočnosti, IPv4 aj IPv6, pretože blok len pre IPv4 necháva domácnosť, ktorá tiež smeruje IPv6, úplne otvorenú na tej istej hranici. Potom rozhodnite, ako klienti získavajú DNS a či nejaká výnimka rozkladača odhaľuje iba zamýšľanú službu.

To sú požiadavky, nie univerzálny recept, pretože pravidlá závisia od toho, kde VPN končí a kde prebieha preklad. Vyhnite sa pridaniu širokého povolenia len preto, aby prvý požiadavok prehliadača uspel.

Čo na seba beriete a ako to otestovať

Zdieľanie východu vytvára prevádzkovú rolu. Pozývajte ľudí cez model identity služby, urobte odstránenie praktickým, udržujte hostiteľa a router a rozhodnite, koľko vášho odosielania služba smie využiť. Požiadavky odchádzajú z vašej adresy, takže sťažnosti a problémy s reputáciou prichádzajú k vašim dverám, aj keď sa žiadne súkromné zariadenie nedotklo. Technický návrh izolácie nehovorí nič o právnom postavení a obmedzenie prevádzky na bežné webové porty nerobí každú povolenú činnosť neškodnou.

Potom otestujte odmietnutia s autorizovaným klientom, nie z konzoly routera. Každé z nasledujúceho musí platiť:

• Prístup na internet funguje z hosťovského tunela.
• NAS a tlačiarne sú odmietnuté podľa adresy aj podľa mena.
• Správa routera je odmietnutá z adresy tunela.
• Druhý pozvaný klient je nedostupný.
• Odstránenie autorizácie klienta skutočne ukončí prístup.

Ak vlastník nedokáže udržať tieto hranice a prevádzkové povinnosti, odovzdanie konfiguračného súboru podceňuje, čo od neho usporiadanie žiada. To je čestný opis služby a patrí do správy, ktorá cestuje s konfiguráciou.