Domači VPN za prijatelje: delite izhod, ne LAN

Reči, da lahko prijatelj brska prek vaše domače povezave, ni isto kot reči, da lahko uporablja vaše domače omrežje, in vrzel med tema dvema stavkoma vsebuje NAS, tiskalnike, skrbniško stran usmerjevalnika in vsako drugo napravo v LAN. Vsaka ureditev potrebuje svoja pravila posredovanja. Večina incidentov z deljenim VPN, o katerih slišim, ni eksotičnih napadov; to je gost, ki je prišel do nečesa, ker nihče ni zapisal, katera meja se kupuje. Odločite se, katero pogodbo ponujate, in jo nato izrazite v politiki posredovanja in dostopa, ne v sporočilu.

Dve pogodbi, ki zvenita enako

Samo internet pomeni, da promet povabljenega odjemalca zapusti prek vaše povezave in nič več. Polni dostop pomeni, da se isti odjemalec pridruži tudi vašemu lokalnemu omrežju, in ta druga pogodba tiho vključuje prvo, in tako ljudje zdrsnejo vanjo. Razlika se zvede na nekaj pravil posredovanja, in to je tudi razlika med deljenjem pasovne širine in deljenjem hiše. Zapišite pogodbo, preden se dotaknete požarnega zidu, ker je pravilo, dodano pozneje, lažje upravičiti kot odstraniti.

Izberite pogodbo samo za internet, razen če nekdo resnično potrebuje storitev v LAN, ker je pravilo, ki ga nikoli niste napisali, dovoljenje, ki ga nikoli niste dali. Nato preverite, katero pogodbo izvaja odjemalska programska oprema, ker lahko privzeta nastavitev polnega tunela tiho dostavi širšo.

Meja prva: domače omrežje

Gostujoči promet v domačih omrežjih nima kaj početi. Ločena podomrežje VPN ali namenski segment gostovanja olajšata izražanje te politike, a drugo ime samo po sebi ničesar ne uveljavi. Poimenujte napravo, ki dejansko premika pakete, in tam ohranite pravila prehoda, ker je pravilo, napisano na stroju, ki ne posreduje, okras. Ko VPN teče na usmerjevalniku, je ta točka izvajanja lastna veriga posredovanja usmerjevalnika.

Gostujoče omrežje z izolacijo odjemalcev je razumna alternativa, če odjemalci VPN resnično pristanejo na njem. Oba načrta potrebujeta isti preizkus z odjemalca, ne s konzole.

Meja druga: gostitelj in drugi gostje

Odjemalci potrebujejo storitev VPN in nič drugega na stroju, ki jo izvaja, zato skrbniški dostop ostaja ločeno dovoljenje. Prav to se najpogosteje podeli pomotoma, ker poslušalec tunela in skrbniški vmesnik sedita na isti škatli. Če se VPN konča na usmerjevalniku, sta vrata tunela in spletni ali SSH vmesnik različna subjekta in si zaslužita različna pravila. Pravila, ki varuje prijavno stran, nikoli ne smemo brati kot prepoved posredovanja.

Dostop do interneta tudi ne zahteva, da en povabljeni odjemalec doseže drugega. Skupine za oddaljeni dostop se pogosto obnašajo kot deljen segment, če ne določite drugače, zato naj bo odločitev izrecna v konfiguraciji skupine. Za nekaj prijateljev je izolacija privzeta vrednost, ki se je vredno odločiti.

Zarišite poti, preden napišete pravila

Samostojna naprava ima dva ločena niza paketov za nadzor: tiste, ki se končajo na njej, in tiste, ki jih posreduje v imenu odjemalca. Smernice CISA za omrežje obravnavajo dohodne, odhodne in medomrežne poti kot dostop, ki potrebuje utemeljitev, in to je tu pravi okvir. Naštejte domače predpone takšne, kakršne so v resnici, IPv4 in IPv6 oba, ker blok samo za IPv4 pusti gospodinjstvo, ki usmerja tudi IPv6, popolnoma odprto na isti meji. Nato odločite, kako odjemalci dobijo DNS in ali katera koli izjema razreševalnika razkrije samo predvideno storitev.

To so zahteve, ne univerzalen recept, ker so pravila odvisna od tega, kje se VPN konča in kje poteka prevajanje. Izogibajte se dodajanju širokega dovoljenja samo zato, da bi prvi zahtevek brskalnika uspel.

Kaj prevzemate in kako to preizkusiti

Deljenje izhoda ustvari operativno vlogo. Povabite ljudi prek identitetnega modela storitve, naredite odstranitev praktično, vzdržujte gostitelja in usmerjevalnik ter odločite, koliko vašega nalaganja sme storitev uporabiti. Zahtevki odhajajo z vašega naslova, zato pritožbe in težave z ugledom pridejo na vaša vrata, tudi ko se nobene zasebne naprave niso dotaknili. Tehnični načrt izolacije ne pove ničesar o pravnem položaju, omejevanje prometa na običajna spletna vrata pa ne naredi vsake dovoljene dejavnosti neškodljive.

Nato preizkusite zavrnitve z pooblaščenim odjemalcem, ne s konzole usmerjevalnika. Vsako od naslednjega mora veljati:

• Dostop do interneta deluje iz gostujočega tunela.
• NAS in tiskalniki so zavrnjeni po naslovu in po imenu.
• Skrbništvo usmerjevalnika je zavrnjeno z naslova tunela.
• Drugi povabljeni odjemalec ni dosegljiv.
• Odstranitev avtorizacije odjemalca resnično konča dostop.

Če lastnik ne more vzdrževati teh meja in operativnih dolžnosti, predaja konfiguracijske datoteke podcenjuje, kaj od njega zahteva ureditev. To je pošten opis storitve in spada v sporočilo, ki potuje s konfiguracijo.