Xuất bản VPN gia đình: bạn thực sự phơi bày điều gì

Bạn chuyển tiếp một cổng cho đường hầm và tự nhủ rằng thay đổi chỉ trong phạm vi hẹp. Trên thực tế, cổng chỉ nhận gói tin đi vào; thứ nằm sau nó mới là sự phơi bày. Ba điều quyết định sự phơi bày đó: ổ cắm lắng nghe ở phía công khai, danh tính mà đường hầm chấp nhận và các đích mà danh tính đó có thể chạm tới sau đó. Mỗi thứ cần câu trả lời riêng, vì lựa chọn cẩn thận ở một thứ không ràng buộc những thứ khác.

Chuyển tiếp cổng không phải là dịch vụ

Quy tắc bộ định tuyến di chuyển gói tin về phía máy chủ; nó không nêu tên tiến trình đọc chúng. Trang chuyển tiếp và ổ cắm lắng nghe sống ở những nơi khác nhau, vì thế một quy tắc có thể trỏ tới máy không còn chạy dịch vụ. Để biết điều gì thực sự trả lời, hãy xem trên máy chủ: ss -lntup liệt kê mọi ổ cắm lắng nghe cùng tiến trình sở hữu nó. Sau đó ghép tiến trình đó với thành phần, phiên bản và chủ sở hữu.

Xóa quy tắc mà bạn nhớ đã tạo không đóng cửa. Một ánh xạ UPnP có thể đã tự thêm vào, địa chỉ IPv6 có thể vẫn truy cập được sau khi mục IPv4 biến mất, và một phương thức xuất bản thứ hai có thể tồn tại trên máy khác. Đọc danh sách ánh xạ UPnP của bộ định tuyến cùng các mục tĩnh của nó, rồi kiểm tra từ bên ngoài mạng.

Đăng nhập không phải là quyền LAN

Đường hầm quyết định ai được kết nối; tài nguyên quyết định máy khách đã kết nối được mở gì. Hướng dẫn zero-trust của NIST thực hiện cùng cách tách bạch ở quy mô mạng: một địa chỉ không chứng minh gì về việc cấp quyền. Giao cho một máy tính xách tay đã đăng ký một nhiệm vụ, chẳng hạn đọc chia sẻ tệp trên một máy chủ có tên, và ghi lại cặp đó. Địa chỉ đường hầm không nên thừa hưởng quyền quản trị đối với phần còn lại của ngôi nhà.

Cũng kiểm tra những đường mà bản tóm tắt bỏ qua: lưu lượng máy khách với máy khách, tư cách thành viên cầu, chuyển tiếp internet và dịch nguồn. Mỗi đường có thể nối hai hệ thống mà nhiệm vụ bằng văn bản của bạn không bao giờ nhắc tới. Tắt những thứ nhiệm vụ không cần, rồi liệt kê nơi máy khách vẫn có thể chạm tới.

Một lần quét sạch chứng minh rất ít

Cổng mở là sự thật về một địa chỉ và một giao thức; đăng nhập thành công là sự thật về một thông tin xác thực. Cả hai đều không nói điều gì xảy ra tiếp theo. Kiểm tra thao tác dự định trên máy chủ dự định, rồi thử một danh tính chưa từng đăng ký, một dịch vụ không ai phê duyệt và giao diện quản trị lẽ ra phải riêng tư. Bài kiểm tra cuối thường là bài thất bại.

Kiểm tra cả hai họ địa chỉ và mọi đường bạn xuất bản. Quét địa chỉ IPv4 không nói gì về dịch vụ IPv6 đang lắng nghe, và kiểm tra nội bộ không thấy được vấn đề vòng lặp NAT hay bộ lọc thượng nguồn. Chạy ít nhất một kiểm tra từ bên ngoài, trên kết nối không quay lại qua cùng bộ định tuyến.

Ghi lại sự phơi bày

Một bảng ngắn biến việc xem xét thành thứ người tiếp theo có thể kiểm toán. Điền từ ngoài vào trong, mỗi hàng một dịch vụ có thể chạm tới, và giữ nó cùng cấu hình, không phải trong luồng trò chuyện. Nếu một hàng không có chủ sở hữu, đó là một phát hiện.

Những hàng chỉ nói “VPN” chưa phải là hàng. Một hàng cần ổ cắm, máy chủ, danh tính và đích, vì đó là thứ kiểm toán viên hoặc kẻ tấn công sẽ kiểm tra.

Lập kế hoạch ngừng sử dụng trước khi cần

Một đường hầm bạn không thể thu hồi là cánh cửa vĩnh viễn. Quyết định trước cách thu hồi thông tin xác thực thiết bị, kết thúc phiên đang hoạt động và khôi phục truy cập sau khi bản nâng cấp làm hỏng dịch vụ. Giữ một tuyến khôi phục không đi qua đường hầm, vì đường hầm chính là thứ bạn sẽ sửa. Lưu nó ở nơi bạn có thể chạm tới mà không cần máy đó.

Việc xem xét hoàn tất khi đích dự định hoạt động và những đích không mong muốn thì không. Đây không phải bảo đảm không có lỗ hổng, và nhãn xanh của trình quét không thay thế cả hai. Trao bảng và ghi chú khôi phục cho người kế thừa thiết lập này.