Objavljanje domačega VPN: kaj v resnici izpostavite

Preusmerite ena vrata za tunel in si rečete, da je sprememba omejena. V praksi vrata prepuščajo samo pakete; tisto, kar stoji za njimi, je izpostavljenost. Izpostavljenost določajo tri stvari: vtičnica, ki posluša na javni strani, identiteta, ki jo tunel sprejme, in cilji, ki jih ta identiteta nato lahko doseže. Vsaka potrebuje svoj odgovor, ker skrbna izbira pri eni ne omejuje drugih.

Preusmerjanje vrat ni storitev

Pravilo usmerjevalnika premika pakete proti gostitelju; ne poimenuje procesa, ki jih bere. Stran za preusmerjanje in poslušajoča vtičnica živita na različnih mestih, zato lahko pravilo kaže na stroj, ki storitve ne izvaja več. Če želite izvedeti, kaj se v resnici odziva, poglejte na gostitelja: ss -lntup navede vsako poslušajočo vtičnico skupaj s procesom, ki jo ima v lasti. Nato ta proces povežite s komponento, različico in lastnikom.

Odstranitev pravila, ki se spomnite, da ste ga ustvarili, ne zapre vrat. Preslikava UPnP se je morda dodala sama, naslov IPv6 lahko ostane dosegljiv, potem ko vnos IPv4 izgine, in drug način objave lahko obstaja na drugem stroju. Preberite seznam preslikav UPnP usmerjevalnika in njegove statične vnose, nato preizkusite zunaj omrežja.

Prijava ni dovoljenje LAN

Tunel odloča, kdo se lahko poveže; viri odločajo, kaj lahko povezani odjemalec odpre. Smernice NIST za ničelno zaupanje naredijo isto delitev v omrežnem merilu: naslov ne dokazuje ničesar o avtorizaciji. Dajte enemu registriranemu prenosniku eno nalogo, na primer branje datotečnega deleža na imenovanem gostitelju, in zapišite ta par. Naslov tunela ne bi smel podedovati skrbniškega dostopa do preostanka hiše.

Preverite tudi poti, ki jih povzetek izpusti: promet odjemalec-odjemalec, članstvo v mostu, posredovanje v internet in prevajanje vira. Vsaka lahko poveže dva sistema, ki jih vaša pisna naloga nikoli ne omeni. Izklopite tiste, ki jih naloga ne potrebuje, nato naštejte, kam lahko odjemalec še doseže.

Čisto skeniranje dokaže zelo malo

Odprta vrata so dejstvo o enem naslovu in enem protokolu; uspešna prijava je dejstvo o eni poverilnici. Nobeno ne pove, kaj se zgodi potem. Preizkusite predvideno operacijo na predvidenem gostitelju, nato poskusite identiteto, ki nikoli ni bila registrirana, storitev, ki je nihče ni odobril, in upravljalni vmesnik, ki bi moral ostati zaseben. Zadnji preizkus običajno ne uspe.

Preizkusite obe družini naslovov in vsako pot, ki jo objavite. Skeniranje naslova IPv4 ne pove ničesar o poslušajoči storitvi IPv6, notranji preizkus pa ne vidi težave z zanko NAT ali filtra višje gor. Izvedite vsaj eno preverjanje od zunaj, na povezavi, ki se ne vrne skozi isti usmerjevalnik.

Zapišite izpostavljenost

Kratka tabela spremeni pregled v nekaj, kar lahko naslednja oseba revidira. Izpolnite jo od zunaj navznoter, ena vrstica na dosegljivo storitev, in jo hranite s konfiguracijo, ne v niti klepeta. Če vrstica nima lastnika, je to ugotovitev.

Vrstice, ki rečejo samo »VPN«, še niso vrstice. Vrstica potrebuje vtičnico, gostitelja, identiteto in cilj, ker bi prav to preizkusil revizor ali napadalec.

Načrtujte umik, preden ga boste potrebovali

Tunel, ki ga ne morete preklicati, so trajna vrata. Vnaprej odločite, kako preklicati poverilnico naprave, končati aktivno sejo in obnoviti dostop, potem ko posodobitev pokvari storitev. Ohranite pot za obnovitev, ki ne gre skozi tunel, ker tunel je tisto, kar boste popravljali. Shranite jo tam, kjer lahko pridete do nje brez tega stroja.

Pregled je končan, ko predvideni cilj deluje, nezaželeni pa ne. To ni jamstvo, da ranljivosti ni, in zelena oznaka skenerja ne nadomesti niti enega niti drugega. Predajte tabelo in zapis o obnovitvi tistemu, ki bo podedoval nastavitev.