Кућни VPN за пријатеље: делите излаз, не LAN

Рећи да пријатељ може да прегледа преко ваше кућне везе није исто што и рећи да може да користи вашу кућну мрежу, а јаз између те две реченице садржи NAS, штампаче, администраторску страницу рутера и сваки други уређај на LAN-у. Сваки аранжман тражи сопствена правила прослеђивања. Већина инцидената са заједничким VPN-ом о којима чујем нису егзотични напади; то је гост који је дошао до нечега јер нико није записао која се граница купује. Одлучите који уговор нудите, а затим га изразите у политици прослеђивања и приступа, а не у поруци.

Два уговора која звуче исто

Само интернет значи да саобраћај позваног клијента излази кроз вашу везу и ништа даље. Пун приступ значи да се исти клијент придружује и вашој локалној мрежи, а тај други уговор тихо укључује први, па тако људи упадају у њега. Разлика се своди на неколико правила прослеђивања, а то је и разлика између дељења пропусног опсега и дељења куће. Запишите уговор пре него што дотакнете заштитни зид, јер правило које додате касније лакше је оправдати него уклонити.

Изаберите уговор само за интернет осим ако некоме заиста треба услуга на LAN-у, јер правило које никад нисте написали јесте дозвола коју никад нисте дали. Затим проверите који уговор примењује клијентски софтвер, јер подразумевано подешавање пуног тунела може тихо да испоручи шире.

Граница прва: кућна мрежа

Гостујући саобраћај уопште нема шта да ради на кућним мрежама. Одвојена VPN подмрежа или наменски сегмент за хостовање олакшава изражавање те политике, али различито име само по себи ништа не спроводи. Именујте уређај који стварно преноси пакете и држите правила прелаза тамо, јер правило написано на машини која не прослеђује само је украс. Када VPN ради на рутеру, та тачка примене је сопствени ланац прослеђивања рутера.

Гостујућа мрежа са изолацијом клијената разумна је алтернатива, под условом да VPN клијенти заиста на њу доспеју. Обе изведбе траже исти тест са клијента, а не из конзоле.

Граница друга: хост и остали гости

Клијентима треба VPN услуга и ништа друго на машини која је покреће, па административни приступ остаје засебна дозвола. То је оно које се најчешће даје случајно, јер слушалац тунела и административно сучеље стоје на истом рачунару. Ако VPN завршава на рутеру, порт тунела и веб или SSH сучеље различити су субјекти и заслужују различита правила. Правило које штити страницу за пријаву никада се не сме читати као забрана прослеђивања.

Приступ интернету такође не захтева да један позвани клијент достигне другога. Скупови за даљински приступ често се понашају као заједнички сегмент ако не кажете другачије, па одлуку учините изричитом у конфигурацији скупа. За неколико пријатеља изолација је подразумевана вредност коју вреди одабрати.

Мапирајте путање пре писања правила

Самостални уређај има два одвојена скупа пакета за надзор: оне који завршавају на њему и оне које прослеђује у име клијента. CISA-ине мрежне смернице третирају улазне, излазне и међумрежне путање као приступ који треба оправдање, што је овде исправан оквир. Пописшите кућне префиксе онаквима какви јесу, IPv4 и IPv6 обоје, јер блокада само IPv4 оставља домаћинство које такође усмерава IPv6 потпуно отвореним на истој граници. Затим одлучите како клијенти добијају DNS и излаже ли било која изнимка резолвера само намеравану услугу.

То су захтеви, а не универзални рецепт, јер правила зависе од тога где VPN завршава и где се догађа превод. Избегните додавање широке дозволе само да би први захтев прегледача успео.

Шта преузимате и како то тестирати

Дељење излаза ствара оперативну улогу. Позовите људе кроз идентитетски модел услуге, учините уклањање практичним, одржавајте хост и рутер и одлучите колико ваше излазне брзине услуга сме да користи. Захтеви одлазе са ваше адресе, па притужбе и проблеми с репутацијом долазе на ваша врата чак и када није додирнут ниједан приватни уређај. Техничка изведба изолације не говори ништа о правном положају, а ограничавање саобраћаја на уобичајене веб портове не чини сваку дозвољену активност безопасном.

Затим тестирајте одбијања са овлашћеним клијентом, а не из конзоле рутера. Свако од следећег мора да важи:

• Приступ интернету ради са гостујућег тунела.
• NAS и штампачи се одбијају по адреси и по имену.
• Администрација рутера се одбија са адресе тунела.
• Други позвани клијент није доступан.
• Уклањање клијентове ауторизације заиста прекида приступ.

Ако власник не може да одржава те границе и оперативне дужности, предаја конфигурационе датотеке потцењује оно што аранжман од њега тражи. То је искрен опис услуге и припада поруци која путује уз конфигурацију.