Routerin idarəetmə səhifəsinə WAN ilə deyil, VPN ilə çatın

Routerin idarəetmə səhifəsi divandan iki saniyəyə açılır, otel otağından isə vaxt aşımına uğrayır, halbuki VPN müştərisi bütün müddət qoşulduğunu bildirir. Əlinizdə olan çıxış yoludur, geri yol deyil: tunel trafikinizi internetə aparır və orada dayanır. Öz yerli şəbəkənizdəki cihaza çatmaq üçün ora marşrutu olan bir şeydə bitən sessiya lazımdır. Bu, parametr deyil, dizayn qərarıdır və işin qalan hissəsinin ümumiyyətlə mümkün olub-olmadığını müəyyən edir.

Fərqi itirmək asandır, çünki bir məhsul hər iki işi görə bilir. Kommersiya çıxış müştərisi və uzaqdan giriş serveri eyni portda eyni protokolu danışa bilər, fərq isə son nöqtənin arxasındakı ünvan sahəsinə hansı tərəfin sahib olmasıdır.

Tunelin hansı tərəfi yerli şəbəkəyə sahibdir

İdarəetmə üçün son nöqtə çatmaq istədiyiniz şəbəkənin içində olmalı və ya ora icazəli marşruta sahib olmalıdır. Öz VPN serverini işlədən router buna uyğundur; sabit ünvanı və yerli şəbəkəyə marşrutu olan kiçik, daim işləyən host da uyğundur. Üçüncü tərəfin idarə etdiyi çıxış xidməti uyğun deyil, çünki onun son nöqtəsinin yerli şəbəkənizdə interfeysi və belə bir interfeysin yaranmasına imkan verən qaydası yoxdur. Başqa hər şeyə toxunmazdan əvvəl tamamlanmalı yoxlama budur.

Proqram təminatı bu fərqi nadir hallarda etiketləyir, ona görə protokolun adını deyil, funksiyanın nə etdiyini oxuyun. WireGuard, OpenVPN və IKEv2 hamısı bazarın hər iki tərəfində görünür: bir quruluş ev təsərrüfatının trafikini bayıra göndərir, digəri uzaq cihazınızı qəbul edir. Yalnız müştəri üçün quruluşu konfiqurasiya ilə serverə çevirmək mümkün deyil, menyu necə ifadə olunursa olunsun.

Geri marşrutu yaratmaq

Routerdəki WireGuard serverinin 10.8.0.1/24 kimi interfeys ünvanı və noutbuk üçün peer qeydi var. Müştəri hansı təyinatları tunelə göndərəcəyini özü qərarlaşdırır və yalnız tunel alt şəbəkəsini ehtiva edən siyahı, server necə konfiqurasiya olunursa olunsun, yerli şəbəkəni görünməz qoyur. Hər iki tərəf razılaşmalıdır və adətən onlardan yalnız biri redaktə olunur.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Birinci əmr hər peerin serverin nöqteyi-nəzərindən nə göndərməyə icazəli olduğunu bildirir; ikincisi yerli şəbəkə ünvanının müştəridə həqiqətən hara gedəcəyini göstərir. Tunel interfeysinə həll olunan yerli təyinat işləyən marşrutlaşdırmadır, fiziki şlüzdən çıxan təyinat isə firewall nə deyirsə desin, heç vaxt çatmayacaq. Yerli şəbəkə prefiksini müştərinin icazəli siyahısına əlavə edin və eyni iki əmr diaqnoz deyil, yoxlama addımına çevrilsin.

IPsec şlüzləri üçün eyni keçidi strongSwan yönləndirmə sənədləri təsvir edir, burada yönləndirmə və mənbə-NAT qaydası tunel müştərisini daxili hosta bağlayan şeylərdir. Ünvanlama fərqlidir; tələb deyil.

İdarəetmə səhifəsini kim aça bilər

Giriş nəzarəti ehtiyatlı olmaq niyyətində deyil, routerdə olmalıdır. Yalnız səhifəyə ehtiyacı olan autentifikasiya edilmiş tunel kimliyinə və ya mənbə diapazonuna icazə verin və routerin öz input zəncirini, həmçinin hər hansı yönləndirilmiş yerli şəbəkə siyasətini oxuyun. Kabel ilə qoşulmuş yerli şəbəkənin idarəetmə səhifəsinə çatmasına imkan verən qayda tunel interfeysinə gələn müştəri barədə heç nə demir. İstisnanı konkret kimlik üçün yazın, sonra rədd edilməli ikinci kimliyi saxlayın.

Dinləyici digər yarıdır və firewall çıxışında görünmür. ss -ltnp veb serverin bağlandığı ünvanı göstərir və yalnız yerli şəbəkə ünvanına bağlanmış xidmət qaydalar nə qədər icazəli olsa da, tunel ünvanında cavab verməyəcək. Onu yenidən bağlamaq və ya ünvan əlavə etmək routerdə konfiqurasiya dəyişikliyidir, firewall dəyişikliyi deyil.

Autentifikasiyanı və nəqliyyat yoxlamasını eyni keçidlə işə salın. Əlçatan olmaq etimad demək deyil və tunel daxilindəki hər cihaz bununla administrator olmur. Tunel etimadnaməsi və router hesabı ayrı həyat dövrləri olan ayrı imtiyazlardır, ona görə itirilmiş noutbukun açarı bütün administratorların parolunu sıfırlamadan ləğv edilə bilər.

Divandan deyil, xaricdən sınaq

Nəzarət etmədiyiniz şəbəkədən sınayın. Təsdiqlənmiş tunel ilə qoşulun, təzə idarəetmə sessiyası açın və səhifədə əksini gördüyünüz zərərsiz bir şeyi dəyişin. Divandan yerli şəbəkənin işlədiyini sübut edirsiniz, bu isə heç vaxt şübhə altında deyildi.

Sonra rədd hallarını eyni diqqətlə sınayın. Səhifəni tunelsiz açmağa cəhd edin və uğursuz olduğunu təsdiqləyin, idarəetmə xidmətinin WAN ünvanında ümumiyyətlə dinləmədiyini də təsdiqləyin. Yalnız linki çıxarılmış səhifə giriş nəzarəti deyil və giriş forması göstərən WAN dinləyicisi yenə də WAN dinləyicisidir. İnternetlə routerin konsolu arasında yalnız parol varsa, dizayn bir paroldur.

Ev xidmətlərinə də orada olarkən nəzər salmağa dəyər. İdarəetmə qaydalarının sərtləşdirilməsi çox vaxt qonaq şəbəkəsini və ya ailə cihazlarının istifadə etdiyi rezolveri pozur və bu, günlər sonra əlaqəsiz bir şikayət kimi üzə çıxır.

Dəyişiklik edərkən geri yol saxlamaq

Marşrutları və ya tunel parametrlərini uzaqdan dəyişməzdən əvvəl müstəqil geri yol hazırlayın. Mövcud sessiya artıq yeni bağlantıları bloklayan dəyişikliyə tab gətirə bilər və insanlar işləyən sessiyaya baxarkən özlərini məhz belə kilidləyirlər. Seçimlər konkretdir: məlum konfiqurasiyaya planlı yenidən başlatma, konsol və ya fiziki giriş, redaktə olunan parametrdən asılı olmayan ikinci tunel və ya aparatın təklif etdiyi yerdə zolaqdan kənar idarəetmə. Birini seçin və texniki xidmət pəncərəsindən əvvəl, onun içində deyil, sübut edin.

Qeydi qısa və aktual saxlayın: tuneli hansı host bitirir, səhifəyə hansı kimliklər çatır, xidmət hansı ünvana bağlanır və itirilmiş cihaz necə ləğv olunur. Bu siyahı bərpa planı kimi də xidmət edir, çünki hər asılılığın harada yaşadığını deyir. Çatışmayan geri marşrut düzəldilməli marşrutlaşdırma problemidir və heç vaxt idarəetməni WAN-da yayımlamağa səbəb deyil.