VPN ที่บ้านสำหรับเพื่อน: แบ่งปันทางออก ไม่ใช่ LAN

การบอกว่าเพื่อนสามารถท่องเว็บผ่านการเชื่อมต่อที่บ้านของคุณไม่ใช่สิ่งเดียวกับการบอกว่าเขาใช้เครือข่ายที่บ้านของคุณได้ และช่องว่างระหว่างสองประโยคนี้มี NAS เครื่องพิมพ์ หน้าผู้ดูแลระบบของเราเตอร์ และอุปกรณ์อื่นทุกชิ้นบน LAN รวมอยู่ด้วย การจัดทุกแบบต้องมีกฎการส่งต่อของตัวเอง เหตุการณ์ VPN ที่แชร์กันซึ่งฉันได้ยินมาส่วนใหญ่ไม่ใช่การโจมตีแปลก ๆ แต่เป็นแขกที่เข้าถึงบางสิ่งได้เพราะไม่มีใครจดว่ากำลังซื้อเส้นแบ่งใด ตัดสินใจว่าคุณเสนอสัญญาแบบไหน แล้วแสดงออกในนโยบายการส่งต่อและการเข้าถึง ไม่ใช่ในข้อความ

สองสัญญาที่ฟังดูเหมือนกัน

อินเทอร์เน็ตเท่านั้นหมายความว่าทราฟฟิกของไคลเอนต์ที่ได้รับเชิญออกผ่านการเชื่อมต่อของคุณและไม่มีอะไรเกินกว่านั้น การเข้าถึงเต็มรูปแบบหมายความว่าไคลเอนต์เดียวกันเข้าร่วมเครือข่ายภายในของคุณด้วย และสัญญาที่สองนั้นรวมสัญญาแรกไว้อย่างเงียบ ๆ ซึ่งเป็นวิธีที่ผู้คนไหลเข้าไปหา ความแตกต่างสรุปได้เป็นกฎการส่งต่อไม่กี่ข้อ และยังเป็นความแตกต่างระหว่างการแบ่งปันแบนด์วิดท์กับการแบ่งปันบ้าน เขียนสัญญาไว้ก่อนแตะไฟร์วอลล์ เพราะกฎที่เพิ่มทีหลังนั้นหาเหตุผลรองรับได้ง่ายกว่าการลบออก

เลือกสัญญาอินเทอร์เน็ตเท่านั้น เว้นแต่มีคนต้องการบริการบน LAN จริง ๆ เพราะกฎที่คุณไม่เคยเขียนคือสิทธิ์ที่คุณไม่เคยให้ จากนั้นตรวจสอบว่าโปรแกรมไคลเอนต์ใช้สัญญาแบบใด เพราะค่าเริ่มต้นแบบอุโมงค์เต็มอาจให้แบบที่กว้างกว่าโดยไม่บอก

เส้นแบ่งที่หนึ่ง เครือข่ายในบ้าน

ทราฟฟิกของแขกไม่ควรมีธุระบนเครือข่ายในบ้านเลย ซับเน็ต VPN แยกหรือเซกเมนต์โฮสติ้งเฉพาะทำให้แสดงนโยบายนั้นได้ง่ายขึ้น แต่ชื่อที่ต่างออกไปไม่ได้บังคับอะไรด้วยตัวเอง ระบุอุปกรณ์ที่ย้ายแพ็กเก็ตจริงและเก็บกฎการข้ามไว้ที่นั่น เพราะกฎที่เขียนบนเครื่องที่ไม่ส่งต่อเป็นเพียงเครื่องประดับ เมื่อ VPN ทำงานบนเราเตอร์ จุดบังคับใช้นั้นคือเชนการส่งต่อของเราเตอร์เอง

เครือข่ายแขกที่มีการแยกไคลเอนต์เป็นทางเลือกที่สมเหตุสมผล หากไคลเอนต์ VPN ลงบนเครือข่ายนั้นจริง ๆ ทั้งสองแบบต้องทดสอบเดียวกันจากไคลเอนต์ ไม่ใช่จากคอนโซล

เส้นแบ่งที่สอง โฮสต์และแขกคนอื่น

ไคลเอนต์ต้องการบริการ VPN และไม่ต้องการสิ่งอื่นบนเครื่องที่รันบริการนั้น การเข้าถึงเพื่อจัดการจึงยังเป็นสิทธิ์แยกต่างหาก นี่คือสิทธิ์ที่มักให้โดยอุบัติเหตุบ่อยที่สุด เพราะตัวรับฟังอุโมงค์และอินเทอร์เฟซผู้ดูแลอยู่บนกล่องเดียวกัน หาก VPN สิ้นสุดที่เราเตอร์ พอร์ตอุโมงค์และอินเทอร์เฟซเว็บหรือ SSH เป็นคนละเรื่องและสมควรได้กฎคนละชุด กฎที่ปกป้องหน้าเข้าสู่ระบบไม่ควรถูกอ่านเป็นการห้ามส่งต่อ

การเข้าถึงอินเทอร์เน็ตก็ไม่จำเป็นต้องให้ไคลเอนต์ที่ได้รับเชิญคนหนึ่งเข้าถึงอีกคน พูลการเข้าถึงระยะไกลมักทำตัวเป็นเซกเมนต์ร่วมกันเว้นแต่คุณจะระบุเป็นอย่างอื่น ดังนั้นทำให้การตัดสินใจชัดเจนในการกำหนดค่าพูล สำหรับเพื่อนไม่กี่คน การแยกคือค่าเริ่มต้นที่ควรเลือก

วาดแผนเส้นทางก่อนเขียนกฎ

อุปกรณ์แบบสแตนด์อโลนมีชุดแพ็กเก็ตสองชุดที่ต้องกำกับดูแล คือชุดที่สิ้นสุดบนตัวมันและชุดที่มันส่งต่อในนามของไคลเอนต์แนวทางเครือข่ายของ CISAมองเส้นทางขาเข้า ขาออก และระหว่างเครือข่ายว่าเป็นการเข้าถึงที่ต้องมีเหตุผลรองรับ ซึ่งเป็นกรอบที่ถูกต้องในที่นี้ ระบุคำนำหน้าในบ้านตามจริงทั้ง IPv4 และ IPv6 เพราะกฎที่บล็อกเฉพาะ IPv4 จะทิ้งบ้านที่เราเตอร์ IPv6 ด้วยให้เปิดโล่งที่เส้นแบ่งเดียวกัน จากนั้นตัดสินใจว่าไคลเอนต์ได้รับ DNS อย่างไร และข้อยกเว้นของตัวแปลงชื่อใดจะเปิดเผยเฉพาะบริการที่ตั้งใจ

สิ่งเหล่านี้เป็นข้อกำหนดไม่ใช่สูตรสากล เพราะกฎขึ้นอยู่กับว่า VPN สิ้นสุดที่ใดและการแปลเกิดขึ้นที่ใด หลีกเลี่ยงการเพิ่มสิทธิ์กว้าง ๆ เพียงเพื่อให้คำขอแรกของเบราว์เซอร์สำเร็จ

คุณรับอะไรไว้ และจะทดสอบอย่างไร

การแบ่งปันทางออกสร้างบทบาทด้านปฏิบัติการ เชิญผู้คนผ่านโมเดลอัตลักษณ์ของบริการทำให้การถอดถอนทำได้จริงดูแลโฮสต์และเราเตอร์ และตัดสินใจว่าบริการใช้แบนด์วิดท์อัปโหลดของคุณได้เท่าใด คำขอออกจากที่อยู่ของคุณ ดังนั้นข้อร้องเรียนและปัญหาชื่อเสียงจะมาถึงประตูของคุณแม้ไม่มีอุปกรณ์ส่วนตัวใดถูกแตะ การออกแบบการแยกเชิงเทคนิคไม่บอกอะไรเกี่ยวกับสถานะทางกฎหมาย และการจำกัดทราฟฟิกให้พอร์ตเว็บทั่วไปไม่ได้ทำให้ทุกกิจกรรมที่อนุญาตไม่มีพิษภัย

จากนั้นทดสอบการปฏิเสธด้วยไคลเอนต์ที่ได้รับอนุญาต ไม่ใช่จากคอนโซลของเราเตอร์ ต่อไปนี้ทุกข้อควรเป็นจริง

• การเข้าถึงอินเทอร์เน็ตทำงานจากอุโมงค์ของแขก
• NAS และเครื่องพิมพ์ถูกปฏิเสธทั้งตามที่อยู่และตามชื่อ
• การจัดการเราเตอร์ถูกปฏิเสธจากที่อยู่ของอุโมงค์
• ไคลเอนต์ที่ได้รับเชิญคนที่สองไม่สามารถเข้าถึงได้
• การถอดถอนการอนุญาตของไคลเอนต์สิ้นสุดการเข้าถึงจริง

หากเจ้าของไม่สามารถรักษาเส้นแบ่งและหน้าที่ด้านปฏิบัติการเหล่านั้นได้ การมอบไฟล์กำหนดค่าจึงประเมินสิ่งที่ข้อตกลงเรียกร้องจากเขาต่ำเกินไป นั่นคือคำอธิบายที่ซื่อตรงของบริการ และมันอยู่ในข้อความที่เดินทางไปพร้อมกับการกำหนดค่า