Arkadaşlar için ev VPN'i: çıkışı paylaşın, LAN'ı değil

Bir arkadaşın ev bağlantınız üzerinden gezinebileceğini söylemek, onun ev ağınızı kullanabileceğini söylemekle aynı şey değildir ve bu iki cümle arasındaki boşluk NAS'ı, yazıcıları, yönlendiricinin yönetim sayfasını ve LAN'daki diğer tüm cihazları içerir. Her düzenlemenin kendi yönlendirme kuralları olmalıdır. Duyduğum paylaşılan VPN olaylarının çoğu egzotik saldırılar değil; hangi sınırın satın alındığını kimse yazmadığı için bir misafirin bir şeye ulaşmasıdır. Hangi sözleşmeyi sunduğunuza karar verin, sonra bunu mesajda değil, yönlendirme ve erişim politikasında ifade edin.

Kulağa aynı gelen iki sözleşme

Yalnızca internet, davet edilen istemcinin trafiğinin bağlantınızdan çıkıp öteye gitmemesi demektir. Tam erişim, aynı istemcinin yerel ağınıza da katılması demektir ve bu ikinci sözleşme birincisini sessizce içerir, insanlar da böylece onun içine kayar. Fark bir avuç yönlendirme kuralına indirgenir ve bu aynı zamanda bant genişliğini paylaşmakla bir evi paylaşmak arasındaki farktır. Güvenlik duvarına dokunmadan önce sözleşmeyi yazın, çünkü sonradan eklenen bir kuralı gerekçelendirmek kaldırmaktan daha kolaydır.

Gerçekten LAN hizmetine ihtiyaç duyan biri yoksa yalnızca internet sözleşmesini seçin, çünkü hiç yazmadığınız bir kural hiç vermediğiniz bir izindir. Ardından istemci yazılımının hangi sözleşmeyi uyguladığını kontrol edin, çünkü tam tünel varsayılanı sessizce daha geniş olanı sunabilir.

Birinci sınır: ev ağı

Misafir trafiğinin ev ağlarında hiçbir işi yoktur. Ayrı bir VPN alt ağı veya ayrılmış barındırma segmenti bu politikayı ifade etmeyi kolaylaştırır, ancak farklı ad kendi başına hiçbir şeyi zorunlu kılmaz. Paketleri gerçekten hareket ettiren cihazı adlandırın ve geçiş kurallarını orada tutun, çünkü yönlendirme yapmayan bir makinede yazılan kural süslemedir. VPN yönlendiricide çalıştığında, o uygulama noktası yönlendiricinin kendi yönlendirme zinciridir.

İstemci yalıtımı olan bir misafir ağı makul bir alternatiftir, yeter ki VPN istemcileri gerçekten ona yerleşsin. Her iki tasarım da aynı testi konsoldan değil, istemciden ister.

İkinci sınır: ana makine ve diğer misafirler

İstemciler VPN hizmetine ihtiyaç duyar ve onu çalıştıran makinede başka hiçbir şeye ihtiyaç duymaz, bu yüzden yönetim erişimi ayrı bir izin olarak kalır. En sık kazara verilen izin budur, çünkü tünel dinleyicisi ve yönetim arayüzü aynı kutuda oturur. VPN yönlendiricide biterse, tünel bağlantı noktası ile web veya SSH arayüzü farklı öznelerdir ve farklı kuralları hak eder. Oturum açma sayfasını koruyan bir kural asla yönlendirme yasağı olarak okunmamalıdır.

İnternet erişimi de davet edilen bir istemcinin diğerine ulaşmasına izin vermeyi gerektirmez. Uzaktan erişim havuzları aksi belirtilmedikçe genellikle paylaşılan bir segment gibi davranır, bu yüzden kararı havuz yapılandırmasında açık hale getirin. Birkaç arkadaş için yalıtım seçilmeye değer varsayılandır.

Kuralları yazmadan önce yolları haritalayın

Bağımsız bir cihazın denetlenecek iki ayrı paket kümesi vardır: üzerinde bitenler ve bir istemci adına ilettiği paketler. CISA'nın ağ yönergeleri gelen, giden ve ağlar arası yolları gerekçe gerektiren erişim olarak ele alır ve burada doğru çerçeve budur. Ev öneklerini gerçekte oldukları gibi listeleyin, hem IPv4 hem IPv6, çünkü yalnızca IPv4'ü engelleyen bir kural IPv6'yı da yönlendiren bir evi aynı sınırda tamamen açık bırakır. Ardından istemcilerin DNS'i nasıl aldığına ve herhangi bir çözümleyici istisnasının yalnızca amaçlanan hizmeti açığa çıkarıp çıkarmadığına karar verin.

Bunlar gereksinimlerdir, evrensel bir tarif değil, çünkü kurallar VPN'in nerede bittiğine ve çevirinin nerede gerçekleştiğine bağlıdır. Yalnızca ilk tarayıcı isteği başarılı olsun diye geniş bir izin eklemekten kaçının.

Neyi üstleniyorsunuz ve nasıl test edilir

Bir çıkışı paylaşmak operasyonel bir rol yaratır. İnsanları hizmetin kimlik modeli üzerinden davet edin, kaldırmayı pratik hale getirin, ana makineyi ve yönlendiriciyi bakımlı tutun ve hizmetin yükleme hızınızın ne kadarını kullanabileceğine karar verin. İstekler sizin adresinizden çıkar, bu yüzden hiçbir özel cihaza dokunulmasa bile şikayetler ve itibar sorunları kapınıza gelir. Teknik bir yalıtım tasarımı hukuki durum hakkında hiçbir şey söylemez ve trafiği yaygın web bağlantı noktalarıyla sınırlamak her izin verilen etkinliği zararsız yapmaz.

Ardından reddetmeleri yönlendirici konsolundan değil, yetkili bir istemciden test edin. Aşağıdakilerin her biri geçerli olmalıdır:

• İnternet erişimi misafir tünelinden çalışır.
• NAS ve yazıcılar adrese ve ada göre reddedilir.
• Yönlendirici yönetimi tünel adresinden reddedilir.
• İkinci davet edilen istemciye ulaşılamaz.
• İstemcinin yetkilendirmesini kaldırmak erişimi gerçekten sona erdirir.

Sahibi bu sınırları ve operasyonel görevleri sürdüremezse, bir yapılandırma dosyası teslim etmek düzenlemenin ondan istediğini hafife alır. Bu, hizmetin dürüst tanımıdır ve yapılandırmayla birlikte yolculuk eden mesaja aittir.