Publicera ett hem-VPN: vad du faktiskt exponerar

Du vidarebefordrar en port för tunneln och intalar dig att ändringen är avgränsad. I praktiken släpper porten bara in paket; det som ligger bakom den är exponeringen. Tre saker avgör den exponeringen: socketen som lyssnar på den offentliga sidan, identiteten som tunneln accepterar och destinationerna som identiteten sedan kan nå. Var och en behöver sitt eget svar, eftersom ett noggrant val i en inte begränsar de andra.

Vidarebefordran av en port är inte en tjänst

En routerregel flyttar paket mot en värd; den namnger inte processen som läser dem. Vidarebefordringssidan och den lyssnande socketen lever på olika ställen, därför kan en regel peka på en maskin som inte längre kör tjänsten. För att ta reda på vad som faktiskt svarar, titta på värden: ss -lntup listar varje lyssnande socket med processen som äger den. Matcha sedan processen mot en komponent, en version och en ägare.

Att ta bort regeln du minns att du skapade stänger inte dörren. En UPnP-mappning kan ha lagt till sig själv, en IPv6-adress kan förbli nåbar efter att IPv4-posten försvunnit, och en andra publiceringsmetod kan finnas på en annan maskin. Läs routerns UPnP-mappningslista och dess statiska poster och testa sedan utanför nätverket.

Inloggning är inte LAN-behörighet

Tunneln avgör vem som får ansluta; resurserna avgör vad en ansluten klient får öppna. NIST:s nolltillitsvägledning gör samma uppdelning på nätverksskala: en adress bevisar ingenting om auktorisering. Ge en registrerad bärbar dator en uppgift, till exempel att läsa en filresurs på en namngiven värd, och skriv ner paret. En tunneladress bör inte ärva administratörsåtkomst till resten av huset.

Undersök också de vägar som en sammanfattning utelämnar: klient-till-klient-trafik, bromedlemskap, internetvidarebefordran och källöversättning. Var och en kan koppla samman två system som din skriftliga uppgift aldrig nämner. Stäng av dem uppgiften inte behöver och lista sedan vad klienten fortfarande kan nå.

En ren skanning bevisar mycket lite

En öppen port är ett faktum om en adress och ett protokoll; en lyckad inloggning är ett faktum om en autentiseringsuppgift. Ingen av dem säger vad som händer härnäst. Testa den avsedda åtgärden på den avsedda värden, prova sedan en identitet som aldrig registrerades, en tjänst som ingen godkände och administrationsgränssnittet som ska förbli privat. Det sista testet är vanligtvis det som misslyckas.

Testa båda adressfamiljerna och varje väg du publicerar. En skanning av IPv4-adressen säger ingenting om en lyssnande IPv6-tjänst, och ett internt test kan inte se ett NAT-loopbackproblem eller ett filter längre upp. Kör minst en kontroll utifrån, på en anslutning som inte kommer tillbaka genom samma router.

Skriv ner exponeringen

En kort tabell gör granskningen till något nästa person kan granska. Fyll i den utifrån och in, en rad per nåbar tjänst, och förvara den med konfigurationen, inte i en chattråd. Om en rad saknar ägare är det ett fynd.

Rader som bara säger ”VPN” är ännu inte rader. En rad behöver socketen, värden, identiteten och destinationen, eftersom det är vad en granskare eller angripare skulle testa.

Planera avvecklingen innan du behöver den

En tunnel du inte kan återkalla är en permanent dörr. Bestäm i förväg hur du återkallar en enhetsuppgift, avslutar en aktiv session och återställer åtkomst efter att en uppgradering bryter tjänsten. Håll en återställningsväg som inte går genom tunneln, eftersom tunneln är det du ska reparera. Förvara den där du kan nå den utan den maskinen.

Granskningen är klar när den avsedda destinationen fungerar och de oönskade inte. Det är inte en garanti för att ingen sårbarhet finns, och en skannings gröna etikett ersätter ingen av dem. Lämna tabellen och återställningsanteckningen till den som ärver installationen.