VPN tại nhà cho bạn bè: chia sẻ lối ra, không phải LAN

Nói rằng một người bạn có thể duyệt qua kết nối tại nhà của bạn không giống như nói rằng họ có thể dùng mạng gia đình của bạn, và khoảng trống giữa hai câu đó chứa NAS, máy in, trang quản trị của router và mọi thiết bị khác trên LAN. Mỗi cách sắp xếp cần các quy tắc chuyển tiếp riêng. Hầu hết các sự cố VPN chia sẻ mà tôi nghe thấy không phải là các cuộc tấn công kỳ lạ; đó là một vị khách đã chạm tới thứ gì đó vì không ai ghi lại ranh giới nào đang được mua. Hãy quyết định bạn đang cung cấp hợp đồng nào, rồi diễn đạt nó trong chính sách chuyển tiếp và truy cập, không phải trong một tin nhắn.

Hai hợp đồng nghe giống nhau

Chỉ internet nghĩa là lưu lượng của máy khách được mời đi ra qua kết nối của bạn và không gì hơn. Truy cập đầy đủ nghĩa là chính máy khách đó cũng tham gia mạng cục bộ của bạn, và hợp đồng thứ hai đó âm thầm bao gồm hợp đồng thứ nhất, và đó là cách mọi người trượt vào nó. Sự khác biệt quy về một số quy tắc chuyển tiếp, và nó cũng là sự khác biệt giữa chia sẻ băng thông và chia sẻ một ngôi nhà. Hãy viết hợp đồng ra trước khi chạm vào tường lửa, vì một quy tắc thêm sau đó dễ biện minh hơn là gỡ bỏ.

Chọn hợp đồng chỉ internet trừ khi ai đó thực sự cần một dịch vụ trên LAN, vì một quy tắc bạn chưa bao giờ viết là một quyền bạn chưa bao giờ cấp. Sau đó kiểm tra hợp đồng nào mà phần mềm máy khách thực hiện, vì mặc định đường hầm đầy đủ có thể âm thầm cung cấp cái rộng hơn.

Ranh giới một: mạng gia đình

Lưu lượng khách không có việc gì trên mạng gia đình cả. Một mạng con VPN riêng hoặc một phân đoạn lưu trữ chuyên dụng làm cho chính sách đó dễ diễn đạt hơn, nhưng cái tên khác tự nó không thực thi gì. Hãy gọi tên thiết bị thực sự di chuyển các gói tin và giữ các quy tắc đi qua ở đó, vì một quy tắc viết trên máy không chuyển tiếp chỉ là đồ trang trí. Khi VPN chạy trên router, điểm thực thi đó chính là chuỗi chuyển tiếp của router.

Một mạng khách có cách ly máy khách là lựa chọn hợp lý, miễn là các máy khách VPN thực sự đáp xuống nó. Cả hai thiết kế đều cần cùng một bài kiểm tra từ máy khách chứ không phải từ bảng điều khiển.

Ranh giới hai: máy chủ và những vị khách khác

Máy khách cần dịch vụ VPN và không gì khác trên máy chạy nó, vì vậy quyền truy cập quản trị vẫn là một quyền riêng. Đó là quyền thường được cấp nhầm nhất, vì trình lắng nghe đường hầm và giao diện quản trị nằm trên cùng một hộp. Nếu VPN kết thúc trên router, cổng đường hầm và giao diện web hoặc SSH là những chủ thể khác nhau và xứng đáng có quy tắc khác nhau. Một quy tắc bảo vệ trang đăng nhập không bao giờ nên bị đọc như một lệnh cấm chuyển tiếp.

Truy cập internet cũng không đòi hỏi phải cho một máy khách được mời chạm tới máy khách khác. Các nhóm truy cập từ xa thường hành xử như một phân đoạn chia sẻ trừ khi bạn nói khác, vì vậy hãy làm rõ quyết định trong cấu hình nhóm. Với một vài người bạn, cách ly là mặc định đáng để chọn.

Vẽ bản đồ các đường đi trước khi viết quy tắc

Một thiết bị độc lập có hai tập gói tin riêng cần giám sát: những gói kết thúc trên nó và những gói nó chuyển tiếp thay mặt một máy khách. Hướng dẫn mạng của CISA coi các đường vào, ra và giữa các mạng là quyền truy cập cần biện minh, và đó là khung đúng ở đây. Hãy liệt kê các tiền tố của gia đình đúng như thực tế, cả IPv4 và IPv6, vì một khối chỉ chặn IPv4 sẽ để một gia đình cũng định tuyến IPv6 hoàn toàn mở ở cùng ranh giới. Sau đó quyết định cách máy khách nhận DNS và liệu một ngoại lệ của trình phân giải có chỉ để lộ đúng dịch vụ dự định hay không.

Đây là các yêu cầu chứ không phải một công thức phổ quát, vì các quy tắc phụ thuộc vào nơi VPN kết thúc và nơi diễn ra việc dịch địa chỉ. Tránh thêm một quyền rộng chỉ để yêu cầu đầu tiên của trình duyệt thành công.

Bạn đang nhận lấy điều gì, và cách kiểm tra

Chia sẻ một lối ra tạo ra một vai trò vận hành. Mời mọi người qua mô hình danh tính của dịch vụ, làm cho việc gỡ bỏ trở nên thực tế, duy trì máy chủ và router, và quyết định dịch vụ được dùng bao nhiêu phần băng thông tải lên của bạn. Các yêu cầu đi ra từ địa chỉ của bạn, nên khiếu nại và vấn đề uy tín đến cửa nhà bạn ngay cả khi không thiết bị riêng tư nào bị chạm tới. Một thiết kế cách ly kỹ thuật không nói gì về vị thế pháp lý, và việc giới hạn lưu lượng vào các cổng web thông dụng không làm mọi hoạt động được phép trở nên vô hại.

Sau đó kiểm tra các lần từ chối bằng một máy khách được cấp quyền chứ không phải từ bảng điều khiển của router. Mỗi điều sau đây phải đúng:

• Truy cập internet hoạt động từ đường hầm khách.
• NAS và máy in bị từ chối theo địa chỉ và theo tên.
• Quản trị router bị từ chối từ địa chỉ đường hầm.
• Máy khách được mời thứ hai không thể chạm tới.
• Gỡ bỏ quyền của máy khách thực sự chấm dứt truy cập.

Nếu chủ nhà không thể duy trì những ranh giới đó và các nghĩa vụ vận hành, việc trao một tệp cấu hình đánh giá thấp điều mà cách sắp xếp này đòi hỏi ở họ. Đó là mô tả trung thực về dịch vụ, và nó thuộc về tin nhắn đi kèm với cấu hình.