Home VPN para sa mga kaibigan: ibahagi ang labasan, hindi ang LAN

Ang pagsabi na ang isang kaibigan ay maaaring mag-browse sa iyong koneksyon sa bahay ay hindi kapareho ng pagsabi na maaari niyang gamitin ang iyong home network, at ang agwat ng dalawang pangungusap na iyon ay naglalaman ng NAS, mga printer, ang admin page ng router at bawat iba pang device sa LAN. Bawat kaayusan ay nangangailangan ng sariling mga tuntunin sa pagpapasa. Karamihan sa mga insidente ng shared VPN na naririnig ko ay hindi kakaibang pag-atake; ito ay isang bisita na nakarating sa isang bagay dahil walang nagsulat kung aling hangganan ang binibili. Magpasya kung anong kontrata ang iniaalok mo, pagkatapos ay ipahayag ito sa patakaran sa pagpapasa at pag-access, hindi sa isang mensahe.

Dalawang kontratang magkapareho ang tunog

Internet lamang ay nangangahulugan na ang trapiko ng inanyayahang kliyente ay lumalabas sa iyong koneksyon at wala nang iba pa. Ang buong access ay nangangahulugan na ang parehong kliyente ay sumasali rin sa iyong lokal na network, at ang pangalawang kontratang iyon ay tahimik na kasama ang una, at ganoon nadadala ang mga tao rito. Ang pagkakaiba ay nauuwi sa ilang tuntunin sa pagpapasa, at ito rin ang pagkakaiba ng pagbabahagi ng bandwidth at pagbabahagi ng bahay. Isulat ang kontrata bago mo hawakan ang firewall, dahil ang tuntuning idinagdag mo mamaya ay mas madaling bigyang-katwiran kaysa alisin.

Piliin ang kontratang internet lamang maliban kung may tunay na nangangailangan ng serbisyo sa LAN, dahil ang tuntuning hindi mo kailanman isinulat ay pahintulot na hindi mo kailanman ibinigay. Pagkatapos ay tingnan kung aling kontrata ang ipinapatupad ng software ng kliyente, dahil ang default na full tunnel ay maaaring tahimik na magbigay ng mas malawak.

Hangganan isa: ang network ng tahanan

Ang trapiko ng bisita ay walang anumang gagawin sa mga network ng tahanan. Ang hiwalay na subnet ng VPN o dedikadong segment ng hosting ay nagpapadali sa pagpapahayag ng patakarang iyon, ngunit ang ibang pangalan ay walang ipinapatupad sa sarili nito. Pangalanan ang device na talagang naglilipat ng mga packet at panatilihin doon ang mga tuntunin sa pagtawid, dahil ang tuntuning nakasulat sa makinang hindi nagpapasa ay palamuti lamang. Kapag tumatakbo ang VPN sa router, ang enforcement point na iyon ay ang sariling chain ng pagpapasa ng router.

Ang guest network na may isolation ng kliyente ay makatwirang alternatibo, sa kondisyon na ang mga kliyente ng VPN ay talagang lumalapag dito. Ang parehong disenyo ay nangangailangan ng parehong pagsubok mula sa kliyente, hindi mula sa console.

Hangganan dalawa: ang host at ang iba pang bisita

Ang mga kliyente ay nangangailangan ng serbisyo ng VPN at wala nang iba pa sa makinang nagpapatakbo nito, kaya ang access sa pamamahala ay nananatiling hiwalay na pahintulot. Ito ang pinakamadalas na ibigay nang aksidente, dahil ang tagapakinig ng tunnel at ang interface ng administrasyon ay nasa iisang kahon. Kung nagtatapos ang VPN sa router, ang port ng tunnel at ang web o SSH interface ay magkaibang paksa at karapat-dapat sa magkaibang tuntunin. Ang tuntuning nagpoprotekta sa pahina ng pag-login ay hindi dapat kailanman basahin bilang pagbabawal sa pagpapasa.

Ang access sa internet ay hindi rin nangangailangan ng pagpayag sa isang inanyayahang kliyente na maabot ang isa pa. Ang mga pool ng remote-access ay madalas na kumikilos tulad ng shared segment maliban kung sasabihin mo ang iba, kaya gawing malinaw ang desisyon sa configuration ng pool. Para sa ilang kaibigan, ang isolation ang default na sulit piliin.

I-map ang mga landas bago sumulat ng mga tuntunin

Ang standalone appliance ay may dalawang hiwalay na set ng packet na babantayan: ang mga nagtatapos dito at ang mga ipinapasa nito sa ngalan ng isang kliyente. Ang mga patnubay sa network ng CISA ay tinatrato ang mga landas na papasok, palabas at sa pagitan ng mga network bilang access na nangangailangan ng katwiran, at iyon ang tamang balangkas dito. Ilahad ang mga prefix ng tahanan kung ano talaga ang mga ito, IPv4 at IPv6 kapwa, dahil ang block na IPv4 lamang ay nag-iiwan ng tahanan na nagru-route rin ng IPv6 na bukas na bukas sa parehong hangganan. Pagkatapos ay magpasya kung paano nakakakuha ng DNS ang mga kliyente at kung may anumang eksepsiyon ng resolver na naglalantad lamang ng inilaan na serbisyo.

Ito ay mga kinakailangan at hindi isang pangkalahatang recipe, dahil ang mga tuntunin ay nakadepende sa kung saan nagtatapos ang VPN at kung saan nangyayari ang pagsasalin. Iwasang magdagdag ng malawak na pahintulot para lamang magtagumpay ang unang kahilingan ng browser.

Ano ang pinapasan mo, at paano ito subukan

Ang pagbabahagi ng isang labasan ay lumilikha ng tungkuling pang-operasyon. Anyayahan ang mga tao sa pamamagitan ng modelo ng pagkakakilanlan ng serbisyo, gawing praktikal ang pag-alis, panatilihin ang host at router, at magpasya kung gaano karami ng iyong upload ang maaaring gamitin ng serbisyo. Ang mga kahilingan ay umaalis mula sa iyong address, kaya ang mga reklamo at problema sa reputasyon ay dumarating sa iyong pintuan kahit walang pribadong device na nahawakan. Ang teknikal na disenyo ng isolation ay walang sinasabi tungkol sa legal na posisyon, at ang paglilimita ng trapiko sa mga karaniwang web port ay hindi ginagawang walang pinsala ang bawat pinapayagang aktibidad.

Pagkatapos ay subukan ang mga pagtanggi sa isang awtorisadong kliyente at hindi mula sa console ng router. Bawat isa sa mga ito ay dapat manatili:

• Gumagana ang access sa internet mula sa tunnel ng bisita.
• Ang NAS at mga printer ay tinatanggihan ayon sa address at ayon sa pangalan.
• Ang administrasyon ng router ay tinatanggihan mula sa address ng tunnel.
• Ang pangalawang inanyayahang kliyente ay hindi maabot.
• Ang pag-alis ng awtorisasyon ng kliyente ay talagang nagtatapos sa access.

Kung hindi kayang panatilihin ng may-ari ang mga hangganang iyon at ang mga tungkuling pang-operasyon, minamaliit ng pag-abot ng configuration file ang hinihingi sa kanya ng kaayusan. Iyon ang tapat na paglalarawan ng serbisyo, at kabilang ito sa mensaheng naglalakbay kasama ng configuration.