Zverejnenie domácej VPN: čo vlastne vystavujete

Preposielate jeden port pre tunel a hovoríte si, že zmena je obmedzená. V praxi port prepúšťa iba pakety; to, čo stojí za ním, je vystavenie. Vystavenie určujú tri veci: socket, ktorý počúva na verejnej strane, identita, ktorú tunel prijíma, a cieľové body, ku ktorým sa táto identita potom môže dostať. Každé potrebuje vlastnú odpoveď, pretože starostlivá voľba v jednom neobmedzuje ostatné.

Presmerovanie portu nie je služba

Pravidlo routera presúva pakety k hostiteľovi; nepomenúva proces, ktorý ich číta. Stránka presmerovania a počúvajúci socket žijú na rôznych miestach, preto pravidlo môže ukazovať na stroj, ktorý už službu nespúšťa. Aby ste zistili, čo skutočne odpovedá, pozrite sa na hostiteľa: ss -lntup vypisuje každý počúvajúci socket spolu s procesom, ktorý ho vlastní. Potom tento proces priraďte ku komponentu, verzii a vlastníkovi.

Odstránenie pravidla, ktoré si pamätáte, že ste vytvorili, nezatvorí dvere. Mapovanie UPnP sa mohlo pridať samo, adresa IPv6 môže zostať dostupná po zmiznutí položky IPv4 a druhý spôsob publikovania môže existovať na inom stroji. Prečítajte si zoznam mapovaní UPnP routera aj jeho statické položky a potom testujte zvonku siete.

Prihlásenie nie je povolenie LAN

Tunel rozhoduje, kto sa môže pripojiť; zdroje rozhodujú, čo pripojený klient môže otvoriť. Usmernenie NIST k nulovej dôvere robí rovnaké rozdelenie v sieťovom meradle: adresa nič nepreukazuje o autorizácii. Dajte jednému zaregistrovanému notebooku jednu úlohu, napríklad čítanie zdieľaného priečinka na pomenovanom hostiteľovi, a zapíšte túto dvojicu. Adresa tunela by nemala dediť prístup správcu k zvyšku domu.

Preskúmajte aj cesty, ktoré zhrnutie vynecháva: prevádzku klient-klient, členstvo v moste, internetové presmerovanie a preklad zdroja. Každá môže spojiť dva systémy, ktoré vaša písomná úloha nikdy neuvádza. Vypnite tie, ktoré úloha nepotrebuje, a potom vypíšte, kam sa klient ešte dostane.

Čisté skenovanie dokazuje veľmi málo

Otvorený port je fakt o jednej adrese a jednom protokole; úspešné prihlásenie je fakt o jednom prihlasovacom údaji. Ani jedno nehovorí, čo sa stane ďalej. Otestujte zamýšľanú operáciu na zamýšľanom hostiteľovi, potom skúste identitu, ktorá nikdy nebola zaregistrovaná, službu, ktorú nikto neschválil, a rozhranie správy, ktoré má zostať súkromné. Posledný test zvyčajne zlyhá.

Otestujte obe rodiny adries a každú cestu, ktorú publikujete. Sken adresy IPv4 nehovorí nič o počúvajúcej službe IPv6 a interný test nevidí problém slučky NAT ani filter vyššie po prúde. Spustite aspoň jednu kontrolu zvonku, na spojení, ktoré sa nevracia cez ten istý router.

Zapíšte vystavenie

Krátka tabuľka premení revíziu na niečo, čo môže ďalší človek auditovať. Vyplňte ju zvonku dovnútra, jeden riadok na dostupnú službu, a uchovávajte ju s konfiguráciou, nie vo vlákne chatu. Ak riadok nemá vlastníka, je to zistenie.

Riadky, ktoré hovoria iba „VPN“, ešte nie sú riadky. Riadok potrebuje socket, hostiteľa, identitu a cieľ, pretože to je to, čo by auditor alebo útočník testoval.

Naplánujte vyradenie skôr, než ho budete potrebovať

Tunel, ktorý nemôžete odvolať, sú trvalé dvere. Vopred rozhodnite, ako odobrať prihlasovací údaj zariadenia, ukončiť aktívnu reláciu a obnoviť prístup po tom, čo aktualizácia pokazí službu. Udržujte cestu obnovy, ktorá nevedie tunelom, pretože tunel je to, čo budete opravovať. Uložte ju tam, kam sa dostanete bez tohto stroja.

Revízia je hotová, keď zamýšľaný cieľ funguje a nežiaduce nie. Nie je to záruka, že neexistuje zraniteľnosť, a zelená etiketa skenera nenahrádza ani jedno. Odovzdajte tabuľku a poznámku o obnove tomu, kto nastavenie zdedí.