Publikimi i një VPN shtëpiake: çfarë ekspozoni në të vërtetë

Përcillni një portë për tunelin dhe i thoni vetes se ndryshimi është i kufizuar. Në praktikë porta pranon vetëm paketa; ajo që qëndron pas saj është ekspozimi. Tre gjëra e përcaktojnë atë ekspozim: socket-i që dëgjon në anën publike, identiteti që tuneli pranon dhe destinacionet që ai identitet mund të arrijë më pas. Secili ka nevojë për përgjigjen e vet, sepse një zgjedhje e kujdesshme në njërin nuk i kufizon të tjerët.

Përcillja e një porte nuk është shërbim

Një rregull router-i i lëviz paketat drejt një hosti; ai nuk e emërton procesin që i lexon. Faqja e përcilljes dhe socket-i që dëgjon jetojnë në vende të ndryshme, prandaj një rregull mund të tregojë një makinë që nuk e ekzekuton më shërbimin. Për të zbuluar çfarë përgjigjet vërtet, shikoni në host: ss -lntup liston çdo socket që dëgjon bashkë me procesin që e zotëron. Pastaj përputhni atë proces me një komponent, një version dhe një pronar.

Heqja e rregullit që ju kujtohet se e krijuat nuk e mbyll derën. Një hartëzim UPnP mund të jetë shtuar vetë, një adresë IPv6 mund të mbetet e arritshme pasi hyrja IPv4 të zhduket, dhe një metodë e dytë publikimi mund të ekzistojë në një makinë tjetër. Lexoni listën e hartëzimeve UPnP të router-it dhe hyrjet e tij statike, pastaj testoni nga jashtë rrjetit.

Hyrja nuk është leje LAN

Tuneli vendos kush mund të lidhet; burimet vendosin çfarë mund të hapë një klient i lidhur. Udhëzuesi i NIST për besim zero bën të njëjtën ndarje në shkallë rrjeti: një adresë nuk provon asgjë për autorizimin. Jepini një laptopi të regjistruar një detyrë, si leximi i një ndarjeje skedarësh në një host të emërtuar, dhe shkruajeni atë çift. Një adresë tuneli nuk duhet të trashëgojë akses administratori për pjesën tjetër të shtëpisë.

Shqyrtoni edhe rrugët që një përmbledhje i lë jashtë: trafiku klient-për-klient, anëtarësimi në urë, përcillja në internet dhe përkthimi i burimit. Secila mund të bashkojë dy sisteme që detyra juaj e shkruar nuk i përmend kurrë. Fikni ato që detyra nuk i nevojit, pastaj listoni ku klienti mund të arrijë ende.

Një skanim i pastër provon shumë pak

Një portë e hapur është fakt për një adresë dhe një protokoll; një hyrje e suksesshme është fakt për një kredencial. Asnjëra nuk thotë çfarë ndodh më pas. Testoni veprimin e synuar në hostin e synuar, pastaj provoni një identitet që nuk u regjistrua kurrë, një shërbim që askush nuk e miratoi dhe ndërfaqen e menaxhimit që duhet të mbetet private. Testi i fundit është zakonisht ai që dështon.

Testoni të dyja familjet e adresave dhe çdo rrugë që publikoni. Një skanim i adresës IPv4 nuk thotë asgjë për një shërbim IPv6 që dëgjon, dhe një test i brendshëm nuk mund të shohë një problem të ciklit NAT ose një filtër në rrjedhën e sipërme. Kryeni të paktën një kontroll nga jashtë, në një lidhje që nuk kthehet përmes të njëjtit router.

Shkruani ekspozimin

Një tabelë e shkurtër e kthen rishikimin në diçka që personi tjetër mund ta auditojë. Plotësojeni nga jashtë brenda, një rresht për çdo shërbim të arritshëm, dhe mbajeni me konfigurimin, jo në një fije bisede. Nëse një rresht nuk ka pronar, ky është një gjetje.

Rreshtat që thonë vetëm “VPN” nuk janë ende rreshta. Një rresht ka nevojë për socket-in, hostin, identitetin dhe destinacionin, sepse kjo është ajo që do të testonte një auditor ose sulmues.

Planifikoni tërheqjen përpara se t'ju duhet

Një tunel që nuk mund ta revokoni është një derë e përhershme. Vendosni paraprakisht si të tërhiqni një kredencial pajisjeje, të përfundoni një sesion aktiv dhe të rivendosni aksesin pasi një përditësim të thyejë shërbimin. Mbani një rrugë rikuperimi që nuk kalon nëpër tunel, sepse tuneli është ajo që do të riparoni. Ruajeni atje ku mund ta arrini pa atë makinë.

Rishikimi përfundon kur destinacioni i synuar funksionon dhe ata të padëshiruar nuk funksionojnë. Nuk është garanci që nuk ekziston dobësi, dhe etiketa e gjelbër e një skaneri nuk zëvendëson asnjërën. Dorëzoni tabelën dhe shënimin e rikuperimit atij që trashëgon konfigurimin.