Do‘stlar uchun uy VPN: chiqishni ulashing, LAN emas

Do‘stingiz uy ulanishi orqali ko‘rishi mumkin, deb aytish u sizning uy tarmog‘ingizdan foydalanishi mumkin, deb aytish bilan bir xil emas, va bu ikki gap orasidagi bo‘shliqda NAS, printerlar, routerning admin sahifasi va LANdagi har bir boshqa qurilma bor. Har bir tartib o‘z yo‘naltirish qoidalariga muhtoj. Men eshitadigan umumiy VPN hodisalarining ko‘pchiligi ekzotik hujumlar emas; bu qaysi chegara sotib olinayotganini hech kim yozmaganligi uchun mehmon nimagadir yetib olgani. Qaysi shartnoma taklif qilayotganingizni hal qiling, so‘ng uni xabarda emas, yo‘naltirish va kirish siyosatida ifodalang.

Bir xil eshitiladigan ikki shartnoma

Faqat internet degani taklif etilgan mijozning trafigi sizning ulanishidan chiqadi va undan nariga o‘tmaydi. To‘liq kirish degani o‘sha mijoz sizning mahalliy tarmog‘ingizga ham qo‘shiladi, va bu ikkinchi shartnoma birinchisini jimgina qamrab oladi, odamlar shu yo‘l bilan unga sirg‘alib tushadi. Farq bir necha yo‘naltirish qoidasiga borib taqaladi, va bu kanal kengligini ulashish bilan uyni ulashish o‘rtasidagi farq ham. Firewallga tegishdan oldin shartnomani yozib qo‘ying, chunki keyin qo‘shilgan qoidani olib tashlashdan ko‘ra oqlash osonroq.

Agar kimgadir haqiqatan LAN xizmati kerak bo‘lmasa, faqat internet shartnomasini tanlang, chunki hech qachon yozmagan qoidangiz hech qachon bermagan ruxsatingizdir. Keyin mijoz dasturi qaysi shartnomani amalga oshirishini tekshiring, chunki to‘liq tunnel standarti kengroq variantni jimgina berishi mumkin.

Birinchi chegara: uy tarmog‘i

Mehmon trafigining uy tarmoqlarida hech qanday ishi yo‘q. Alohida VPN quyi tarmog‘i yoki maxsus hosting segmenti bu siyosatni ifodalashni osonlashtiradi, lekin boshqa nom o‘z-o‘zidan hech narsani majburlamaydi. Paketlarni haqiqatan harakatlantiruvchi qurilmani nomlang va o‘tish qoidalarini o‘sha yerda saqlang, chunki yo‘naltirmaydigan mashinada yozilgan qoida bezakdir. VPN routerda ishlaganda, bu ijro nuqtasi routerning o‘z yo‘naltirish zanjiridir.

Mijoz izolyatsiyasi bo‘lgan mehmon tarmog‘i oqilona alternativa, agar VPN mijozlari haqiqatan unga qo‘nsa. Ikkala dizayn ham konsoldan emas, mijozdan bir xil sinovni talab qiladi.

Ikkinchi chegara: xost va boshqa mehmonlar

Mijozlarga VPN xizmati kerak va uni ishga tushiruvchi mashinada boshqa hech narsa kerak emas, shuning uchun boshqaruv kirishi alohida ruxsat bo‘lib qoladi. Aynan shu ko‘pincha tasodifan beriladi, chunki tunnel tinglovchisi va boshqaruv interfeysi bir qutida. Agar VPN routerda tugasa, tunnel porti va veb yoki SSH interfeysi alohida subyektlar va alohida qoidalarga loyiq. Kirish sahifasini himoya qiluvchi qoida hech qachon yo‘naltirishga taqiq sifatida o‘qilmasligi kerak.

Internetga kirish ham bir taklif etilgan mijozning boshqasiga yetib borishiga ruxsat berishni talab qilmaydi. Masofaviy kirish hovuzlari boshqacha aytmasangiz, umumiy segment kabi tutadi, shuning uchun qarorni hovuz konfiguratsiyasida aniq qiling. Bir necha do‘st uchun izolyatsiya tanlashga arziydigan standartdir.

Qoidalarni yozishdan oldin yo‘llarni xaritalang

Mustaqil qurilma kuzatishi kerak bo‘lgan ikki alohida paket to‘plamiga ega: uning ustida tugaydiganlari va u mijoz nomidan uzatadiganlari. CISA tarmoq ko‘rsatmalari kiruvchi, chiquvchi va tarmoqlararo yo‘llarni asoslash talab qiladigan kirish deb qaraydi, va bu yerda to‘g‘ri ramka shu. Uy prefikslarini qanday bo‘lsa shunday sanab o‘ting, IPv4 ham, IPv6 ham, chunki faqat IPv4ni bloklash IPv6ni ham marshrutlaydigan uyni o‘sha chegarada butunlay ochiq qoldiradi. Keyin mijozlar DNSni qanday olishini va hal qiluvchining biron istisnosi faqat mo‘ljallangan xizmatni ochishini hal qiling.

Bular talablar, universal retsept emas, chunki qoidalar VPN qayerda tugashi va tarjima qayerda bo‘lishiga bog‘liq. Faqat birinchi brauzer so‘rovi muvaffaqiyatli bo‘lishi uchun keng ruxsat qo‘shishdan saqlaning.

Nimani o‘z zimmangizga olasiz va uni qanday sinash kerak

Chiqishni ulashish operatsion rol yaratadi. Odamlarni xizmatning identifikatsiya modeli orqali taklif qiling, olib tashlashni amaliy qiling, xost va routerni parvarish qiling, va xizmat yuklash kanalingizning qancha qismini ishlatishi mumkinligini hal qiling. So‘rovlar sizning manzilingizdan chiqadi, shuning uchun shikoyatlar va obro‘ muammolari hech bir shaxsiy qurilmaga tegilmagan bo‘lsa ham sizning eshigingizga keladi. Texnik izolyatsiya loyihasi huquqiy holat haqida hech narsa demaydi, va trafikni oddiy veb portlar bilan cheklash har bir ruxsat etilgan faoliyatni zararsiz qilmaydi.

Keyin rad javoblarini router konsolidan emas, vakolatli mijozdan sinab ko‘ring. Quyidagilarning har biri bajarilishi kerak:

• Mehmon tunnelidan internetga kirish ishlaydi.
• NAS va printerlar manzil bo‘yicha va nom bo‘yicha rad etiladi.
• Router boshqaruvi tunnel manzilidan rad etiladi.
• Ikkinchi taklif etilgan mijozga yetib bo‘lmaydi.
• Mijozning ruxsatini olib tashlash kirishni haqiqatan tugatadi.

Agar egasi bu chegaralarni va operatsion vazifalarni saqlab tura olmasa, konfiguratsiya faylini topshirish bu tartib undan talab qiladigan narsani kam baholaydi. Bu xizmatning halol tavsifi, va u konfiguratsiya bilan birga sayohat qiladigan xabarga tegishli.