Објављивање кућног VPN-а: шта заправо излажете

Преусмеравате један порт за тунел и говорите себи да је промена ограничена. У пракси порт пропушта само пакете; оно што стоји иза њега је изложеност. Три ствари одређују ту изложеност: сокет који слуша на јавној страни, идентитет који тунел прихвата и одредишта до којих тај идентитет затим може да стигне. Свако тражи сопствени одговор, јер пажљив избор у једном не ограничава остале.

Преусмеравање порта није услуга

Правило рутера помера пакете ка хосту; оно не именује процес који их чита. Страница за преусмеравање и сокет који слуша живе на различитим местима, зато правило може да показује на машину која више не покреће услугу. Да сазнате шта заиста одговара, погледајте на хосту: ss -lntup наводи сваки сокет који слуша заједно с процесом који га поседује. Затим повежите тај процес с компонентом, верзијом и власником.

Уклањање правила за које се сећате да сте га направили не затвара врата. UPnP мапирање се можда само додало, IPv6 адреса може остати доступна након што IPv4 унос нестане, а други начин објављивања може постојати на другој машини. Прочитајте листу UPnP мапирања рутера као и његове статичке уносе, па тестирајте изван мреже.

Пријава није LAN дозвола

Тунел одлучује ко може да се повеже; ресурси одлучују шта повезани клијент може да отвори. NIST смернице за нулто поверење праве исту поделу на мрежној скали: адреса не доказује ништа о ауторизацији. Дајте једном уписаном лаптопу један задатак, као што је читање дељене фасцикле на именованом хосту, и запишите тај пар. Адреса тунела не треба да наследи администраторски приступ остатку куће.

Прегледајте и путање које резиме изоставља: саобраћај клијент-клијент, чланство у мосту, интернетско преусмеравање и превођење извора. Свако може да споји два система која ваша писана задача никада не помиње. Искључите оно што задатку не треба, па наведите до чега клијент још може да стигне.

Чисто скенирање доказује веома мало

Отворен порт је чињеница о једној адреси и једном протоколу; успешна пријава је чињеница о једном акредитиву. Ниједно не каже шта се дешава даље. Тестирајте предвиђену операцију на предвиђеном хосту, па покушајте идентитет који никада није уписан, услугу коју нико није одобрио и административни интерфејс који треба да остане приватан. Последњи тест обично је онај који пада.

Тестирајте обе породице адреса и сваку путању коју објављујете. Скенирање IPv4 адресе не говори ништа о услузи IPv6 која слуша, а интерни тест не може да види проблем NAT повратне петље или филтер узводно. Покрените барем једну проверу споља, на вези која се не враћа кроз исти рутер.

Запишите изложеност

Кратка табела претвара преглед у нешто што следећа особа може да ревидира. Попуните је споља ка унутра, један ред по доступној услузи, и чувајте је уз конфигурацију, не у чет нити. Ако ред нема власника, то је налаз.

Редови који само кажу „VPN“ још нису редови. Реду требају сокет, хост, идентитет и одредиште, јер то је оно што би ревизор или нападач тестирао.

Планирајте умировљење пре него што вам затреба

Тунел који не можете да опозовете трајна су врата. Унапред одлучите како да повучете акредитив уређаја, завршите живу сесију и вратите приступ након што надоградња поквари услугу. Држите пут опоравка који не иде кроз тунел, јер тунел је оно што ћете поправљати. Похраните га где му можете приступити без те машине.

Преглед је завршен када предвиђено одредиште ради, а нежељена не. То није гаранција да нема рањивости, и зелена ознака скенера не замењује ниједно. Предајте табелу и белешку о опоравку ономе ко наследи поставку.