Ev VPN'ini yayımlamak: gerçekte neyi açığa çıkarıyorsunuz

Tünel için bir port yönlendiriyor ve değişikliğin sınırlı olduğunu kendinize söylüyorsunuz. Uygulamada port yalnızca paketleri içeri alır; arkasında duran şey maruziyettir. Bu maruziyeti üç şey belirler: genel tarafta dinleyen soket, tünelin kabul ettiği kimlik ve o kimliğin sonra ulaşabileceği hedefler. Her biri kendi yanıtına ihtiyaç duyar, çünkü birinde dikkatli bir seçim diğerlerini sınırlamaz.

Port yönlendirmesi bir hizmet değildir

Yönlendirici kuralı paketleri bir ana bilgisayara doğru hareket ettirir; onları okuyan süreci adlandırmaz. Yönlendirme sayfası ile dinleyen soket farklı yerlerde yaşar, bu yüzden bir kural artık hizmeti çalıştırmayan bir makineyi gösterebilir. Gerçekte neyin yanıt verdiğini öğrenmek için ana bilgisayara bakın: ss -lntup her dinleyen soketi onu sahiplenen süreçle birlikte listeler. Sonra o süreci bir bileşen, sürüm ve sahiple eşleştirin.

Oluşturduğunuzu hatırladığınız kuralı kaldırmak kapıyı kapatmaz. Bir UPnP eşlemesi kendini eklemiş olabilir, IPv4 girdisi gittikten sonra bir IPv6 adresi erişilebilir kalabilir ve başka bir makinede ikinci bir yayımlama yöntemi bulunabilir. Yönlendiricinin UPnP eşleme listesini ve statik girdilerini okuyun, ardından ağın dışından test edin.

Oturum açma bir LAN izni değildir

Tünel kimin bağlanabileceğini belirler; kaynaklar bağlı bir istemcinin neyi açabileceğini belirler. NIST'in sıfır güven kılavuzu ağ ölçeğinde aynı ayrımı yapar: bir adres yetkilendirme hakkında hiçbir şey kanıtlamaz. Kayıtlı bir dizüstü bilgisayara bir görev verin, örneğin adlandırılmış bir ana bilgisayardaki dosya paylaşımını okumak, ve bu çifti yazın. Tünel adresi evin geri kalanına yönetici erişimini miras almamalıdır.

Bir özetin atladığı yolları da inceleyin: istemciden istemciye trafik, köprü üyeliği, internete yönlendirme ve kaynak çevirisi. Her biri yazılı görevinizin hiç söz etmediği iki sistemi birleştirebilir. Görevin ihtiyaç duymadıklarını kapatın, sonra istemcinin hâlâ nerelere ulaşabildiğini listeleyin.

Temiz bir tarama çok az şey kanıtlar

Açık bir port, bir adres ve bir protokol hakkında bir gerçektir; başarılı bir oturum açma, bir kimlik bilgisi hakkında bir gerçektir. Hiçbiri sonra ne olacağını söylemez. Amaçlanan işlemi amaçlanan ana bilgisayarda test edin, sonra hiç kaydedilmemiş bir kimliği, kimsenin onaylamadığı bir hizmeti ve özel kalması gereken yönetim arayüzünü deneyin. Son test genellikle başarısız olandır.

Her iki adres ailesini ve yayımladığınız her yolu test edin. IPv4 adresinin taranması dinleyen bir IPv6 hizmeti hakkında hiçbir şey söylemez ve dahili bir test NAT geri döngü sorununu ya da yukarı akış filtresini göremez. En az bir kontrolü dışarıdan, aynı yönlendiriciden geri dönmeyen bir bağlantıda çalıştırın.

Maruziyeti yazın

Kısa bir tablo incelemeyi bir sonraki kişinin denetleyebileceği bir şeye dönüştürür. Onu dışarıdan içeriye doldurun, erişilebilir her hizmet için bir satır, ve yapılandırmayla birlikte saklayın, bir sohbet dizisinde değil. Bir satırın sahibi yoksa, bu bir bulgudur.

Yalnızca “VPN” diyen satırlar henüz satır değildir. Bir satır soketi, ana bilgisayarı, kimliği ve hedefi gerektirir, çünkü bir denetçi ya da saldırganın test edeceği şey budur.

İhtiyaç duymadan önce kullanımdan kaldırmayı planlayın

İptal edemediğiniz bir tünel kalıcı bir kapıdır. Bir cihaz kimlik bilgisini nasıl geri çekeceğinize, etkin bir oturumu nasıl sonlandıracağınıza ve bir yükseltme hizmeti bozduktan sonra erişimi nasıl geri getireceğinize önceden karar verin. Tünelden geçmeyen bir kurtarma yolu tutun, çünkü onaracağınız şey tünelin kendisidir. Onu o makine olmadan ulaşabileceğiniz bir yerde saklayın.

İnceleme, amaçlanan hedef çalıştığında ve istenmeyenler çalışmadığında biter. Bu, hiçbir güvenlik açığı olmadığının garantisi değildir ve bir tarayıcının yeşil etiketi ikisinin yerini tutmaz. Tabloyu ve kurtarma notunu bu kurulumu devralan kişiye verin.