Публікація домашнього VPN: що ви насправді відкриваєте

Ви перенаправляєте один порт для тунелю і кажете собі, що зміна обмежена. На практиці порт пропускає лише пакети; те, що стоїть за ним, і є експозицією. Її визначають три речі: сокет, що слухає на публічному боці, ідентичність, яку приймає тунель, і призначення, до яких ця ідентичність потім може дістатися. Кожній потрібна своя відповідь, бо обережний вибір в одній не обмежує інші.

Перенаправлення порту — не служба

Правило маршрутизатора переміщує пакети до хоста; воно не називає процес, який їх читає. Сторінка перенаправлення і слухаючий сокет живуть у різних місцях, тому правило може вказувати на машину, яка більше не запускає службу. Щоб дізнатися, що насправді відповідає, подивіться на хості: ss -lntup перелічує кожен слухаючий сокет разом із процесом, якому він належить. Потім зіставте цей процес із компонентом, версією та власником.

Видалення правила, яке ви пам’ятаєте як створене, не зачиняє двері. Зіставлення UPnP могло додатися саме, адреса IPv6 може залишатися доступною після зникнення запису IPv4, а другий спосіб публікації може існувати на іншій машині. Прочитайте список зіставлень UPnP маршрутизатора та його статичні записи, потім перевірте ззовні мережі.

Вхід — не дозвіл LAN

Тунель вирішує, хто може підключитися; ресурси вирішують, що може відкрити підключений клієнт. Настанова NIST щодо нульової довіри робить той самий поділ у масштабі мережі: адреса нічого не доводить про авторизацію. Дайте одному зареєстрованому ноутбуку одне завдання, наприклад читання файлового спільного ресурсу на названому хості, і запишіть цю пару. Адреса тунелю не повинна успадковувати адміністративний доступ до решти будинку.

Перевірте також шляхи, які оминає зведення: трафік клієнт-клієнт, членство в мості, перенаправлення в інтернет і трансляцію джерела. Кожен може з’єднати дві системи, які ваше письмове завдання ніколи не згадує. Вимкніть ті, що не потрібні завданню, потім перелічіть, куди клієнт ще може дістатися.

Чисте сканування доводить дуже мало

Відкритий порт — факт про одну адресу й один протокол; успішний вхід — факт про один обліковий запис. Ні те, ні інше не каже, що буде далі. Перевірте передбачену операцію на передбаченому хості, потім спробуйте ідентичність, яка ніколи не реєструвалася, службу, яку ніхто не схвалив, і інтерфейс керування, що має залишатися приватним. Останній тест зазвичай і провалюється.

Перевірте обидві родини адрес і кожен шлях, який публікуєте. Сканування адреси IPv4 нічого не каже про службу IPv6, що слухає, а внутрішній тест не побачить проблему петлі NAT або фільтр вище за потоком. Виконайте принаймні одну перевірку ззовні, на з’єднанні, яке не повертається через той самий маршрутизатор.

Запишіть експозицію

Коротка таблиця перетворює огляд на те, що наступна людина зможе перевірити. Заповнюйте її ззовні всередину, один рядок на доступну службу, і зберігайте разом із конфігурацією, а не в чаті. Якщо рядок не має власника, це знахідка.

Рядки, які кажуть лише «VPN», ще не рядки. Рядку потрібні сокет, хост, ідентичність і призначення, бо саме це перевіряв би аудитор або зловмисник.

Сплануйте виведення з експлуатації заздалегідь

Тунель, який не можна відкликати, — це постійні двері. Заздалегідь вирішіть, як відкликати облікові дані пристрою, завершити активний сеанс і відновити доступ після того, як оновлення зламає службу. Тримайте шлях відновлення, що не проходить через тунель, бо ремонтувати ви будете саме тунель. Зберігайте його там, де можна дістатися без цієї машини.

Огляд завершено, коли потрібне призначення працює, а небажані — ні. Це не гарантія відсутності вразливостей, і зелена позначка сканера не замінює ні того, ні іншого. Передайте таблицю й нотатку про відновлення тому, хто успадкує налаштування.