Pag-publish ng home VPN: ano ang tunay na inilalantad mo

Nagpapasa ka ng isang port para sa tunnel at sinasabi sa sarili mo na limitado ang pagbabago. Sa pagsasagawa, pumapasok lamang ang port sa mga packet; ang nasa likod nito ang paglalantad. Tatlong bagay ang nagtatakda ng paglalantad na iyon: ang socket na nakikinig sa pampublikong panig, ang pagkakakilanlang tinatanggap ng tunnel, at ang mga patutunguhang maaaring maabot ng pagkakakilanlang iyon. Bawat isa ay nangangailangan ng sariling sagot, dahil ang maingat na pagpili sa isa ay hindi naglilimita sa iba.

Ang pagpapasa ng port ay hindi serbisyo

Ang tuntunin ng router ay naglilipat ng packet patungo sa host; hindi nito pinapangalanan ang prosesong nagbabasa ng mga ito. Ang pahina ng pagpapasa at ang nakikinig na socket ay nakatira sa magkaibang lugar, kaya ang isang tuntunin ay maaaring tumuro sa makina na hindi na nagpapatakbo ng serbisyo. Para malaman kung ano talaga ang tumutugon, tingnan sa host: inililista ng ss -lntup ang bawat nakikinig na socket kasama ang prosesong nagmamay-ari nito. Pagkatapos, itugma ang prosesong iyon sa isang bahagi, bersyon at may-ari.

Ang pag-alis ng tuntuning natatandaan mong ginawa mo ay hindi nagsasara ng pinto. Maaaring nagdagdag ng sarili ang isang UPnP mapping, maaaring manatiling maabot ang IPv6 address pagkatapos mawala ang IPv4 entry, at maaaring may pangalawang paraan ng pag-publish sa ibang makina. Basahin ang listahan ng UPnP mapping ng router at ang mga static na entry nito, pagkatapos ay subukan mula sa labas ng network.

Ang pag-login ay hindi pahintulot sa LAN

Ang tunnel ang nagtatakda kung sino ang maaaring kumonekta; ang mga mapagkukunan ang nagtatakda kung ano ang maaaring buksan ng konektadong kliyente. Ang gabay ng NIST sa zero trust ay gumagawa ng parehong paghahati sa antas ng network: walang pinatutunayan ang isang address tungkol sa awtorisasyon. Bigyan ang isang rehistradong laptop ng isang gawain, tulad ng pagbabasa ng file share sa isang pinangalanang host, at isulat ang pares na iyon. Ang address ng tunnel ay hindi dapat magmana ng access ng administrator sa natitirang bahagi ng bahay.

Suriin din ang mga landas na iniiwan ng buod: trapik ng kliyente-sa-kliyente, pagiging miyembro ng bridge, pagpapasa sa internet at pagsasalin ng pinagmulan. Bawat isa ay maaaring mag-ugnay ng dalawang sistemang hindi kailanman binabanggit ng iyong nakasulat na gawain. Patayin ang hindi kailangan ng gawain, pagkatapos ay ilista kung saan pa makakaabot ang kliyente.

Kaunting bagay lang ang pinatutunayan ng malinis na pag-scan

Ang bukas na port ay katotohanan tungkol sa isang address at isang protocol; ang matagumpay na pag-login ay katotohanan tungkol sa isang kredensyal. Wala sa kanila ang nagsasabi kung ano ang susunod na mangyayari. Subukan ang nilalayong operasyon sa nilalayong host, pagkatapos ay subukan ang pagkakakilanlang hindi kailanman nairehistro, serbisyong walang sinumang nag-apruba, at ang interface ng pamamahala na dapat manatiling pribado. Ang huling pagsubok ang karaniwang nabibigo.

Subukan ang dalawang pamilya ng address at bawat landas na ipinapublish mo. Walang sinasabi ang pag-scan ng IPv4 address tungkol sa nakikinig na IPv6 service, at hindi nakikita ng panloob na pagsubok ang problema sa NAT loopback o filter sa upstream. Magpatakbo ng hindi bababa sa isang pagsusuri mula sa labas, sa koneksyong hindi bumabalik sa parehong router.

Isulat ang paglalantad

Ang maikling talahanayan ay ginagawang isang bagay na maaaring i-audit ng susunod na tao ang pagsusuri. Punan ito mula sa labas papasok, isang hilera bawat maaabot na serbisyo, at itago ito kasama ng configuration, hindi sa thread ng chat. Kung walang may-ari ang isang hilera, iyon ay isang natuklasan.

Ang mga hilerang nagsasabi lamang ng “VPN” ay hindi pa hiler. Ang isang hilera ay nangangailangan ng socket, host, pagkakakilanlan at patutunguhan, dahil iyon ang susubukan ng auditor o attacker.

Planuhin ang pagreretiro bago mo ito kailanganin

Ang tunnel na hindi mo maaaring bawiin ay permanenteng pinto. Magpasya nang maaga kung paano bawiin ang kredensyal ng device, tapusin ang live na session, at ibalik ang access pagkatapos masira ng upgrade ang serbisyo. Panatilihin ang ruta ng pagbawi na hindi dumadaan sa tunnel, dahil ang tunnel ang aayusin mo. Itago ito kung saan maaabot mo nang wala ang makinang iyon.

Tapos na ang pagsusuri kapag gumagana ang nilalayong patutunguhan at hindi gumagana ang mga hindi kanais-nais. Hindi ito garantiya na walang kahinaan, at ang berdeng label ng scanner ay hindi kapalit ng alinman sa dalawa. Iabot ang talahanayan at ang tala ng pagbawi sa sinumang magmamana ng setup na ito.