Домашній VPN для друзів: діліться виходом, а не LAN

Сказати, що друг може переглядати через ваше домашнє підключення, — не те саме, що сказати, що він може користуватися вашою домашньою мережею, і проміжок між цими двома реченнями містить NAS, принтери, сторінку адміністрування роутера та всі інші пристрої в LAN. Кожній домовленості потрібні власні правила переадресації. Більшість відомих мені інцидентів зі спільним VPN — не екзотичні атаки; це гість, який дістався до чогось, бо ніхто не записав, який кордон купується. Вирішіть, який договір ви пропонуєте, і висловіть його в політиці переадресації та доступу, а не в повідомленні.

Два договори, які звучать однаково

Лише інтернет означає, що трафік запрошеного клієнта виходить через ваше підключення і нічого далі. Повний доступ означає, що той самий клієнт приєднується й до вашої локальної мережі, і цей другий договір мовчки включає перший, і так люди в нього втягуються. Різниця зводиться до кількох правил переадресації, і це також різниця між спільним використанням каналу та спільним використанням будинку. Запишіть договір до того, як торкатися міжмережевого екрана, бо додане пізніше правило легше обґрунтувати, ніж видалити.

Виберіть договір «лише інтернет», якщо комусь справді не потрібен сервіс у LAN, бо правило, яке ви ніколи не писали, — це дозвіл, якого ви ніколи не давали. Потім перевірте, який договір реалізує клієнтське програмне забезпечення, бо налаштування за замовчуванням із повним тунелем може тихо надати ширший.

Кордон перший: домашня мережа

Гостьовому трафіку зовсім нічого робити в домашніх мережах. Окрема підмережа VPN або виділений сегмент хостингу полегшують вираження цієї політики, але інша назва сама по собі нічого не забезпечує. Назвіть пристрій, який справді переміщує пакети, і тримайте правила перетину там, бо правило на машині, яка не пересилає, — це оздоба. Коли VPN працює на роутері, цією точкою виконання є власний ланцюг переадресації роутера.

Гостьова мережа з ізоляцією клієнтів — розумна альтернатива, за умови, що клієнти VPN справді на неї потрапляють. Обидві схеми потребують однакової перевірки з клієнта, а не з консолі.

Кордон другий: хост і інші гості

Клієнтам потрібен сервіс VPN і нічого більше на машині, яка його запускає, тож адміністративний доступ залишається окремим дозволом. Саме його найчастіше видають випадково, бо слухач тунелю та інтерфейс адміністрування розташовані на одному пристрої. Якщо VPN завершується на роутері, порт тунелю та веб- або SSH-інтерфейс — різні суб'єкти й заслуговують різних правил. Правило, що захищає сторінку входу, ніколи не повинно читатися як заборона на переадресацію.

Доступ до інтернету також не вимагає дозволяти одному запрошеному клієнтові досягати іншого. Пули віддаленого доступу часто поводяться як спільний сегмент, якщо не вказати інше, тож зробіть рішення явним у конфігурації пулу. Для кількох друзів ізоляція — це варіант за замовчуванням, який варто вибрати.

Накресліть шляхи до того, як писати правила

У автономного пристрою два окремі набори пакетів під наглядом: ті, що завершуються на ньому, і ті, що він пересилає від імені клієнта. Мережеві настанови CISA розглядають вхідні, вихідні та міжмережеві шляхи як доступ, що потребує обґрунтування, і тут це правильна рамка. Перелічіть домашні префікси такими, якими вони є, IPv4 і IPv6 обидва, бо блокування лише IPv4 залишає дім, який також маршрутизує IPv6, повністю відкритим на тому самому кордоні. Потім вирішіть, як клієнти отримують DNS і чи якийсь виняток резолвера відкриває лише призначений сервіс.

Це вимоги, а не універсальний рецепт, бо правила залежать від того, де завершується VPN і де відбувається трансляція. Уникайте додавання широкого дозволу лише для того, щоб перший запит браузера пройшов.

Що ви берете на себе і як це перевірити

Спільне використання виходу створює експлуатаційну роль. Запрошуйте людей через модель ідентичності сервісу, зробіть видалення практичним, підтримуйте хост і роутер і вирішіть, яку частину вашої віддачі сервіс може використовувати. Запити виходять з вашої адреси, тож скарги й проблеми з репутацією приходять до ваших дверей, навіть якщо жодного приватного пристрою не було торкнуто. Технічний проєкт ізоляції нічого не каже про правове становище, а обмеження трафіку звичайними вебпортами не робить кожну дозволену дію нешкідливою.

Потім перевірте відмови з авторизованого клієнта, а не з консолі роутера. Кожне з наведеного нижче має виконуватися:

• Доступ до інтернету працює з гостьового тунелю.
• NAS і принтери відхиляються за адресою та за іменем.
• Адміністрування роутера відхиляється з адреси тунелю.
• Другий запрошений клієнт недоступний.
• Видалення авторизації клієнта справді припиняє доступ.

Якщо власник не може підтримувати ці межі та експлуатаційні обов'язки, передача файлу конфігурації недооцінює те, чого вимагає від нього ця домовленість. Це чесний опис сервісу, і він належить повідомленню, яке подорожує разом із конфігурацією.