Bereik die router se adminbladsy oor die VPN, nie die WAN nie

Die router se adminbladsy maak in twee sekondes van die bank oop en wys 'n tydsverloop vanuit 'n hotelkamer, terwyl die VPN-kliënt die hele tyd as verbind aandui. Wat jy het, is 'n weg uit, nie 'n weg terug nie: die tonnel dra jou verkeer na die internet en stop daar. Om 'n toestel binne jou eie LAN te bereik, het 'n sessie nodig wat op iets termineer met 'n roete daarin. Dit is 'n ontwerpbesluit, nie 'n instelling nie, en dit bepaal of die res van die werk hoegenaamd moontlik is.

Die onderskeid is maklik om te verloor omdat een produk albei take kan doen. 'n Kommersiële uitgangskliënt en 'n afstandtoegang-bediener kan dieselfde protokol op dieselfde poort praat, en die verskil is watter kant die adresruimte agter die eindpunt besit.

Watter kant van die tonnel besit die LAN

Vir administrasie moet die eindpunt binne die netwerk sit wat jy wil bereik, of 'n gemagtigde pad daarin hê. 'n Router wat sy eie VPN-bediener hardloop, kwalifiseer; so ook 'n klein altyd-aan gasheer met 'n vaste adres en 'n roete na die LAN. 'n Uitgangdiens wat deur 'n derde party bedryf word, kwalifiseer nie, want sy eindpunt het geen koppelvlak op jou LAN nie en geen reël wat een sou laat verskyn nie. Dit is die kontrole wat jy moet afhandel voordat jy enigiets anders aanraak.

Firmware etiketteer daardie verskil selde, so lees wat die funksie doen eerder as watter protokol dit noem. WireGuard, OpenVPN en IKEv2 verskyn almal aan albei kante van die mark: een bou stuur huishoudelike verkeer uitwaarts, 'n ander aanvaar jou afstandtoestel. 'n Slegs-kliënt-bou kan nie deur konfigurasie in 'n bediener verander word nie, hoe die kieslys ook al bewoord is.

Maak die terugroete bestaan

'n WireGuard-bediener op die router het 'n koppelvlakadres soos 10.8.0.1/24 en 'n eweknie-inskrywing vir die skootrekenaar. Die kliënt besluit watter bestemmings hy in die tonnel sal stuur, en 'n lys wat net die tonnel-subnet bevat, laat die LAN onsigbaar, hoe die bediener ook al opgestel is. Albei kante moet saamstem, en net een van hulle word gewoonlik geredigeer.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Die eerste opdrag rapporteer wat elke eweknie toegelaat word om te stuur vanuit die bediener se oogpunt; die tweede rapporteer waar 'n LAN-adres werklik op die kliënt sou gaan. 'n LAN-bestemming wat na die tonnelkoppelvlak oplos, is roetering wat werk, en een wat deur die fisiese deurgang vertrek, sal nooit aankom nie, maak nie saak wat die firewall sê nie. Voeg die LAN-voorvoegsel by die kliënt se toegelate lys, en dieselfde twee opdragte word 'n verifikasiestap eerder as 'n diagnose.

Die strongSwan-aanstuur-dokumentasie beskryf dieselfde sprong vir IPsec-deurgange, waar aanstuur en 'n bron-NAT-reël is wat 'n tonnelkliënt aan 'n interne gasheer koppel. Die adressering verskil; die vereiste nie.

Wie mag die adminbladsy oopmaak

Toegangsbeheer hoort op die router, nie in die voorneme om versigtig te wees nie. Laat net die geauthentiseerde tonnelidentiteit of bronreeks toe wat die bladsy nodig het, en lees die router se eie insetketting sowel as enige aangestuurde LAN-beleid. 'n Reël wat die bedrade LAN na die adminbladsy laat, sê niks oor 'n kliënt wat op die tonnelkoppelvlak aankom nie. Skryf die uitsondering vir 'n spesifieke identiteit, en hou dan 'n tweede identiteit wat geweier moet word.

Die luisteraar is die ander helfte en dit is onsigbaar in firewall-uitset. ss -ltnp wys die adres waaraan die webbediener gebind is, en 'n diens wat net aan die LAN-adres gebind is, sal nie op die tonneladres antwoord nie, hoe toegeeflik die reëls ook al is. Om dit te herbind of 'n adres by te voeg, is 'n konfigurasieverandering op die router, nie 'n firewall-verandering nie.

Hou verifikasie en vervoervalidasiestap in dieselfde verbygang aangeskakel. Bereikbaar is nie vertrou nie, en elke toestel binne 'n tonnel is nie daardeur 'n administrateur nie. Die tonnelbewys en die routerrekening is aparte voorregte met aparte lewensiklusse, so 'n verlore skootrekenaar se sleutel kan herroep word sonder om elke administrateur se wagwoord te herstel.

Toets van buite, nie van die bank nie

Toets vanuit 'n netwerk wat jy nie beheer nie. Maak deur die goedgekeurde tonnel verbinding, open 'n vars admin-sessie en verander iets onskadeliks wat jy in die bladsy weerspieël sien. Van die bank af bewys jy dat die LAN werk, wat nooit betwyfel was nie.

Toets dan die weierings met dieselfde sorg. Probeer die bladsy sonder die tonnel en bevestig dat dit misluk, en bevestig dat die administrasiediens glad nie op die WAN-adres luister nie. 'n Bladsy wat bloot nie geskakel is nie, is nie toegangsbeheer nie, en 'n WAN-luisteraar wat 'n aanmeldvorm wys, is steeds 'n WAN-luisteraar. As 'n wagwoord die enigste ding tussen die internet en die router se konsole is, is die ontwerp 'n wagwoord.

Huishoudelike dienste verdien 'n kyk terwyl jy daar is. Die verskerping van bestuursreëls breek dikwels die gasnetwerk of die oplosser wat die gesin se toestelle gebruik, en dit kom dae later na vore as 'n onverwante klag.

Hou 'n weg terug terwyl jy dinge verander

Voordat jy roetes of tonnelinstellings op afstand verander, berei 'n onafhanklike weg terug voor. 'n Bestaande sessie kan die verandering oorleef wat reeds nuwe verbindings blokkeer, en dit is presies hoe mense hulself uitsluit terwyl hulle na 'n sessie kyk wat nog werk. Die opsies is konkreet: 'n geskeduleerde herbegin na 'n bekende konfigurasie, konsole- of fisiese toegang, 'n tweede tonnel wat nie van die instelling afhang wat geredigeer word nie, of buiteband-bestuur waar die hardeware dit bied. Kies een en bewys dit voor die onderhoudsvenster eerder as tydens dit.

Hou die rekord kort en bygewerk: watter gasheer die tonnel termineer, watter identiteite die bladsy mag bereik, watter adres die diens bind, en hoe 'n verlore toestel herroep word. Daardie lys dien as die herstelplan, want dit sê waar elke afhanklikheid woon. 'n Ontbrekende terugroete is 'n roeteringsprobleem om te herstel, en dit is nooit 'n rede om administrasie op die WAN te publiseer nie.