VPN shtëpiak për miqtë: ndani daljen, jo LAN-in

Të thuash se një mik mund të shfletues përmes lidhjes shtëpiake nuk është e njëjta gjë me të thuash se ai mund të përdorë rrjetin tuaj shtëpiak, dhe hendeku midis këtyre dy fjalive përmban NAS-in, printerat, faqen e administrimit të ruterit dhe çdo pajisje tjetër në LAN. Çdo rregullim ka nevojë për rregullat e veta të përcjelljes. Shumica e incidenteve me VPN të përbashkët që dëgjoj nuk janë sulme ekzotike; është një mysafir që arriti diçka sepse askush nuk shkroi cilën kufi po blinte. Vendosni çfarë kontrate po ofroni, pastaj shprehni atë në politikën e përcjelljes dhe aksesit, jo në një mesazh.

Dy kontrata që tingëllojnë njësoj

Vetëm internet do të thotë që trafiku i klientit të ftuar del përmes lidhjes tuaj dhe asgjë më tej. Akses i plotë do të thotë që i njëjti klient bashkohet edhe me rrjetin tuaj lokal, dhe ajo kontrata e dytë përfshin në heshtje të parën, dhe kështu njerëzit rrëshqasin në të. Diferenca zbret në disa rregulla përcjelljeje, dhe është gjithashtu diferenca midis ndarjes së gjerësisë së brezit dhe ndarjes së një shtëpie. Shkruani kontratën përpara se të prekni firewall-in, sepse një rregull i shtuar më vonë justifikohet më lehtë sesa hiqet.

Zgjidhni kontratën vetëm internet, përveç nëse dikush ka vërtet nevojë për një shërbim në LAN, sepse një rregull që nuk e keni shkruar kurrë është një leje që nuk e keni dhënë kurrë. Pastaj kontrolloni cilën kontratë zbaton softueri i klientit, sepse parazgjedhja e tunelit të plotë mund të japë në heshtje atë më të gjerë.

Kufiri një: rrjeti i shtëpisë

Trafiku i mysafirëve nuk ka asgjë për të bërë në rrjetet e shtëpisë. Një nënrrjet i veçantë VPN ose një segment i dedikuar i hostimit e bëjnë atë politikë më të lehtë për t'u shprehur, por emri tjetër nuk imponon asgjë vetë. Emërtoni pajisjen që lëviz vërtet paketat dhe mbani rregullat e kalimit atje, sepse një rregull i shkruar në një makinë që nuk përcjell është dekor. Kur VPN-ja ekzekutohet në ruter, ai pikë zbatimi është zinxhiri i përcjelljes i vetë ruterit.

Një rrjet mysafirësh me izolim klientësh është një alternativë e arsyeshme, me kusht që klientët e VPN të ulen vërtet mbi të. Të dyja modelet kanë nevojë për të njëjtin test nga një klient, jo nga konsola.

Kufiri dy: hosti dhe mysafirët e tjerë

Klientët kanë nevojë për shërbimin VPN dhe asgjë tjetër në makinën që e ekzekuton, kështu që aksesi i menaxhimit mbetet një leje e veçantë. Është pikërisht ajo që jepet më shpesh aksidentalisht, sepse dëgjuesi i tunelit dhe ndërfaqja e administrimit ndodhen në të njëjtën kuti. Nëse VPN-ja përfundon në ruter, porta e tunelit dhe ndërfaqja web ose SSH janë subjekte të ndryshme dhe meritojnë rregulla të ndryshme. Një rregull që mbron një faqe hyrjeje nuk duhet të lexohet kurrë si një ndalim i përcjelljes.

Aksesi në internet gjithashtu nuk kërkon të lejojë një klient të ftuar të arrijë një tjetër. Pishinat e aksesit në distancë shpesh sillen si një segment i përbashkët nëse nuk thoni ndryshe, prandaj bëjeni vendimin të qartë në konfigurimin e pishinës. Për disa miq, izolimi është parazgjedhja që ia vlen të zgjidhet.

Hartoni shtigjet përpara se të shkruani rregulla

Një pajisje autonome ka dy grupe të veçanta paketash për të mbikëqyrur: ato që përfundojnë mbi të dhe ato që përcjell në emër të një klienti. Udhëzimet e rrjetit të CISA-s i trajtojnë shtigjet hyrëse, dalëse dhe ndërrjetëzore si akses që kërkon justifikim, dhe ky është korniza e duhur këtu. Renditni prefikset e shtëpisë ashtu siç janë në të vërtetë, IPv4 dhe IPv6 të dyja, sepse një bllok vetëm për IPv4 lë një shtëpi që ruteron edhe IPv6 plotësisht të hapur në të njëjtin kufi. Pastaj vendosni si klientët marrin DNS dhe nëse ndonjë përjashtim i zgjidhësit ekspozon vetëm shërbimin e synuar.

Këto janë kërkesa dhe jo një recetë universale, sepse rregullat varen nga vendi ku përfundon VPN-ja dhe ku ndodh përkthimi. Shmangni shtimin e një leje të gjerë vetëm që kërkesa e parë e shfletuesit të ketë sukses.

Çfarë merrni përsipër dhe si ta testoni

Ndarja e një daljeje krijon një rol operativ. Ftoni njerëzit përmes modelit të identitetit të shërbimit, bëni heqjen praktike, mbani hostin dhe ruterin e mirëmbajtur, dhe vendosni sa nga ngarkimi juaj mund të përdorë shërbimi. Kërkesat dalin nga adresa juaj, prandaj ankesat dhe problemet e reputacionit vijnë në derën tuaj edhe kur nuk është prekur asnjë pajisje private. Një dizajn teknik izolimi nuk thotë asgjë për pozicionin ligjor, dhe kufizimi i trafikut në portat e zakonshme web nuk e bën çdo aktivitet të lejuar të pafajshëm.

Pastaj testoni refuzimet me një klient të autorizuar dhe jo nga konsola e ruterit. Secila prej këtyre duhet të qëndrojë:

• Aksesi në internet funksionon nga tuneli i mysafirit.
• NAS-i dhe printerat refuzohen sipas adresës dhe sipas emrit.
• Administrimi i ruterit refuzohet nga adresa e tunelit.
• Një klient i dytë i ftuar është i paarritshëm.
• Heqja e autorizimit të klientit e përfundon vërtet aksesin.

Nëse pronari nuk mund t'i mbajë ato kufij dhe detyrat operative, dorëzimi i një skedari konfigurimi nënvlerëson atë që kërkon prej tij rregullimi. Ky është përshkrimi i sinqertë i shërbimit dhe i takon mesazhit që udhëton me konfigurimin.