Hem-VPN för vänner: dela utgången, inte LANet

Att säga att en vän får surfa via din hemanslutning är inte samma sak som att säga att han får använda ditt hemnätverk, och gapet mellan de två meningarna innehåller NAS:en, skrivarna, routerns adminsida och alla andra enheter på LANet. Varje arrangemang behöver sina egna vidarebefordringsregler. De flesta incidenter med delad VPN som jag hör talas om är inte exotiska attacker; det är en gäst som nådde något eftersom ingen skrev ner vilken gräns som köptes. Bestäm vilket avtal du erbjuder och uttryck det sedan i vidarebefordrings- och åtkomspolicy i stället för i ett meddelande.

Två avtal som låter likadana

Bara internet betyder att den inbjudna klientens trafik lämnar via din anslutning och inget mer. Full åtkomst betyder att samma klient också ansluter till ditt lokala nätverk, och det andra avtalet inkluderar tyst det första, och så glider folk in i det. Skillnaden kokar ner till en handfull vidarebefordringsregler, och det är också skillnaden mellan att dela bandbredd och att dela ett hus. Skriv ner avtalet innan du rör brandväggen, för en regel du lägger till efteråt är lättare att motivera än att ta bort.

Välj avtalet med bara internet om inte någon verkligen behöver en LAN-tjänst, för en regel du aldrig skrev är ett tillstånd du aldrig gav. Kontrollera sedan vilket avtal klientprogramvaran implementerar, för en standard med full tunnel kan tyst leverera den bredare.

Gräns ett: hushållets nätverk

Gästtrafik har absolut ingenting på hushållets nätverk att göra. Ett separat VPN-subnät eller ett dedikerat hostingsegment gör den policyn lättare att uttrycka, men det annorlunda namnet tvingar inte fram något i sig. Namnge enheten som faktiskt flyttar paketen och håll korsningsreglerna där, för en regel skriven på en maskin som inte vidarebefordrar är dekoration. När VPN:en körs på routern är den tillämpningspunkten routerns egen vidarebefordringskedja.

Ett gästnätverk med klientisolering är ett rimligt alternativ, förutsatt att VPN-klienterna faktiskt landar på det. Båda designerna behöver samma test från en klient i stället för från konsolen.

Gräns två: värden och de andra gästerna

Klienter behöver VPN-tjänsten och ingenting annat på maskinen som kör den, så administrationsåtkomst förblir ett separat tillstånd. Det är det som oftast ges av misstag, eftersom tunnel-lyssnaren och administrationsgränssnittet sitter på samma låda. Om VPN:en terminerar på routern är tunnelporten och webb- eller SSH-gränssnittet olika subjekt och förtjänar olika regler. En regel som skyddar en inloggningssida bör aldrig läsas som ett förbud mot vidarebefordran.

Internetanvändning kräver inte heller att man låter en inbjuden klient nå en annan. Fjärråtkomstpooler beter sig ofta som ett delat segment om du inte säger annat, så gör beslutet explicit i poolkonfigurationen. För en handfull vänner är isolering det standardval som är värt att göra.

Kartlägg vägarna innan du skriver regler

En fristående apparat har två separata paketmängder att övervaka: de som terminerar på den och de som den vidarebefordrar för en klients räkning. CISAs nätverksriktlinjer behandlar inkommande, utgående och nätverksöverskridande vägar som åtkomst som behöver motivering, och det är rätt ram här. Lista hushållets prefix som de faktiskt är, både IPv4 och IPv6, för ett block som bara täcker IPv4 lämnar ett hushåll som också routar IPv6 helt öppet vid samma gräns. Bestäm sedan hur klienter får DNS och om något undantag i resolvern bara exponerar den avsedda tjänsten.

Detta är krav och inte ett universellt recept, för reglerna beror på var VPN:en terminerar och var översättningen sker. Undvik att lägga till ett brett tillstånd bara för att den första webbläsarförfrågan ska lyckas.

Vad du tar på dig och hur du testar det

Att dela en utgång skapar en driftsroll. Bjöd in folk genom tjänstens identitetsmodell, gör borttagning praktisk, håll värden och routern underhållna och bestäm hur mycket av din uppladdning tjänsten får använda. Förfrågningar lämnar din adress, så klagomål och rykteproblem kommer till din dörr även när ingen privat enhet rördes. En teknisk isoleringsdesign säger ingenting om den juridiska ställningen, och att begränsa trafik till vanliga webbportar gör inte varje tillåten aktivitet ofarlig.

Testa sedan avvisningarna med en auktoriserad klient i stället för från routerkonsolen. Vart och ett av följande måste gälla:

• Internetanvändning fungerar från gästtunneln.
• NAS och skrivare avvisas efter adress och efter namn.
• Routeradministration avvisas från tunneladressen.
• En andra inbjuden klient är oåtkomlig.
• Borttagning av klientens auktorisering avslutar faktiskt åtkomsten.

Om ägaren inte kan upprätthålla dessa gränser och driftuppgifterna underskattar överlämnandet av en konfigurationsfil vad arrangemanget kräver av honom. Det är den ärliga beskrivningen av tjänsten, och den hör hemma i meddelandet som reser med konfigurationen.