การเผยแพร่ VPN ในบ้าน: สิ่งที่คุณเปิดเผยจริง ๆ

คุณส่งต่อพอร์ตหนึ่งสำหรับอุโมงค์และบอกตัวเองว่าการเปลี่ยนแปลงมีขอบเขต ในการปฏิบัติจริงพอร์ตเพียงรับแพ็กเก็ตเข้ามา สิ่งที่อยู่ข้างหลังคือการเปิดเผย สามสิ่งกำหนดการเปิดเผยนั้น ได้แก่ ซ็อกเก็ตที่รับฟังทางฝั่งสาธารณะ ตัวตนที่อุโมงค์ยอมรับ และปลายทางที่ตัวตนนั้นเข้าถึงได้ แต่ละอย่างต้องมีคำตอบของตัวเอง เพราะการเลือกอย่างระมัดระวังในอย่างหนึ่งไม่ได้จำกัดอย่างอื่น

การส่งต่อพอร์ตไม่ใช่บริการ

กฎของเราเตอร์ย้ายแพ็กเก็ตไปยังโฮสต์ แต่ไม่ได้ระบุชื่อโพรเซสที่อ่านแพ็กเก็ตนั้น หน้าเมนูการส่งต่อกับซ็อกเก็ตที่รับฟังอยู่ในคนละที่ จึงเป็นเหตุให้กฎชี้ไปยังเครื่องที่ไม่ได้รันบริการนั้นแล้ว การจะรู้ว่าอะไรตอบจริงให้ดูที่โฮสต์ ss -lntup แสดงซ็อกเก็ตที่รับฟังทุกตัวพร้อมโพรเซสที่เป็นเจ้าของ จากนั้นจับคู่โพรเซสนั้นกับองค์ประกอบ เวอร์ชัน และเจ้าของ

การลบกฎที่คุณจำได้ว่าสร้างขึ้นไม่ได้ปิดประตู การแมป UPnP อาจเพิ่มตัวเองเข้ามา ที่อยู่ IPv6 อาจยังเข้าถึงได้หลังจากรายการ IPv4 หายไป และวิธีเผยแพร่วิธีที่สองอาจมีอยู่บนเครื่องอื่น อ่านรายการแมป UPnP ของเราเตอร์และรายการแบบคงที่ แล้วทดสอบจากภายนอกเครือข่าย

การเข้าสู่ระบบไม่ใช่สิทธิ์ LAN

อุโมงค์ตัดสินว่าใครเชื่อมต่อได้ ทรัพยากรตัดสินว่าไคลเอนต์ที่เชื่อมต่อเปิดอะไรได้ แนวปฏิบัติความเชื่อมั่นศูนย์ของ NIST แยกแบบเดียวกันในระดับเครือข่าย ที่อยู่ไม่ได้พิสูจน์อะไรเกี่ยวกับการอนุญาต ให้แล็ปท็อปที่ลงทะเบียนหนึ่งเครื่องมีงานหนึ่งอย่าง เช่น อ่านไฟล์แชร์บนโฮสต์ที่ระบุชื่อ และจดคู่นั้นไว้ ที่อยู่ของอุโมงค์ไม่ควรสืบทอดสิทธิ์ผู้ดูแลระบบไปยังส่วนที่เหลือของบ้าน

ตรวจสอบเส้นทางที่บทสรุปมองข้ามด้วย ได้แก่ ทราฟฟิกระหว่างไคลเอนต์ด้วยกัน การเป็นสมาชิกบริดจ์ การส่งต่ออินเทอร์เน็ต และการแปลต้นทาง แต่ละอย่างสามารถเชื่อมสองระบบที่งานเขียนของคุณไม่เคยกล่าวถึง ปิดสิ่งที่งานไม่จำเป็นต้องใช้ แล้วระบุว่าไคลเอนต์ยังเข้าถึงอะไรได้

การสแกนที่สะอาดพิสูจน์ได้น้อยมาก

พอร์ตที่เปิดอยู่เป็นข้อเท็จจริงเกี่ยวกับที่อยู่หนึ่งและโพรโทคอลหนึ่ง การเข้าสู่ระบบสำเร็จเป็นข้อเท็จจริงเกี่ยวกับข้อมูลรับรองหนึ่งรายการ ทั้งสองไม่ได้บอกว่าจะเกิดอะไรต่อไป ทดสอบการดำเนินการที่ตั้งใจบนโฮสต์ที่ตั้งใจ จากนั้นลองตัวตนที่ไม่เคยลงทะเบียน บริการที่ไม่มีใครอนุมัติ และอินเทอร์เฟซการจัดการที่ควรเป็นส่วนตัว การทดสอบสุดท้ายมักเป็นสิ่งที่ล้มเหลว

ทดสอบทั้งสองตระกูลที่อยู่และทุกเส้นทางที่คุณเผยแพร่ การสแกนที่อยู่ IPv4 ไม่ได้บอกอะไรเกี่ยวกับบริการ IPv6 ที่รับฟัง และการทดสอบภายในมองไม่เห็นปัญหาลูปแบ็ก NAT หรือตัวกรองต้นน้ำ อย่างน้อยให้ตรวจสอบหนึ่งครั้งจากภายนอก บนการเชื่อมต่อที่ไม่กลับมาผ่านเราเตอร์ตัวเดียวกัน

จดการเปิดเผยไว้

ตารางสั้น ๆ ทำให้การทบทวนกลายเป็นสิ่งที่คนถัดไปตรวจสอบได้ กรอกจากภายนอกเข้าข้างใน หนึ่งแถวต่อบริการที่เข้าถึงได้ และเก็บไว้กับคอนฟิกูเรชัน ไม่ใช่ในเธรดแชต หากแถวไม่มีเจ้าของ นั่นคือข้อค้นพบ

แถวที่พูดแค่ “VPN” ยังไม่ใช่แถว แถวต้องมีซ็อกเก็ต โฮสต์ ตัวตน และปลายทาง เพราะนั่นคือสิ่งที่ผู้ตรวจสอบหรือผู้โจมตีจะทดสอบ

วางแผนการเลิกใช้ก่อนจะต้องใช้

อุโมงค์ที่คุณเพิกถอนไม่ได้คือประตูถาวร ตัดสินใจล่วงหน้าว่าจะถอนข้อมูลรับรองอุปกรณ์อย่างไร จบเซสชันที่ใช้งานอยู่อย่างไร และกู้คืนการเข้าถึงอย่างไรหลังจากอัปเกรดทำให้บริการเสีย เก็บเส้นทางกู้คืนที่ไม่ผ่านอุโมงค์ เพราะอุโมงค์คือสิ่งที่คุณจะซ่อม เก็บไว้ในที่ที่เข้าถึงได้โดยไม่ต้องใช้เครื่องนั้น

การทบทวนเสร็จเมื่อปลายทางที่ตั้งใจทำงานและปลายทางที่ไม่ต้องการไม่ทำงาน นี่ไม่ใช่การรับประกันว่าไม่มีช่องโหว่ และป้ายสีเขียวของสแกนเนอร์ไม่ได้แทนทั้งสองอย่าง ส่งตารางและบันทึกการกู้คืนให้ผู้ที่รับช่วงการตั้งค่านี้