Доступ да адмін-старонкі роўтара праз VPN, а не праз WAN

Адмін-старонка роўтара адкрываецца за дзве секунды з канапы і сканчаецца тайм-аўтам з гасцінічнага нумара, хаця VPN-кліент увесь час паведамляе пра злучэнне. У вас ёсць шлях вонкі, а не шлях назад: тунэль нясе ваш трафік у інтэрнэт і спыняецца там. Каб дасягнуць прылады ў вашай уласнай лакальнай сетцы, патрэбна сесія, якая завяршаецца на чымсьці з маршрутам у яе. Гэта рашэнне праекта, а не налада, і яно вызначае, ці магчыма наогул астатняя праца.

Гэтую розніцу лёгка страціць, бо адзін прадукт можа рабіць абедзве задачы. Камерцыйны кліент выхаду і сервер аддаленага доступу могуць гаварыць па адным пратаколе на адным порце, а розніца ў тым, які бок валодае адраснай прасторай за канцавым пунктам.

Які бок тунэлю валодае лакальнай сеткай

Для адміністравання канцавы пункт павінен знаходзіцца ўнутры сеткі, да якой вы хочаце дабрацца, або мець дазволены шлях у яе. Роўтар, які запускае ўласны VPN-сервер, падыходзіць; падыходзіць і невялікі пастаянна ўключаны хост з фіксаваным адрасам і маршрутам у лакальную сетку. Сэрвіс выхаду, які кіруе трэці бок, не падыходзіць, бо яго канцавы пункт не мае інтэрфейсу ў вашай лакальнай сетцы і ніякага правіла, якое дазволіла б яму з'явіцца. Гэта праверка, якую трэба завяршыць, перш чым кранаць што-небудзь іншае.

Прашыўка рэдка пазначае гэтую розніцу, таму чытайце, што робіць функцыя, а не якую назву пратакола яна ўжывае. WireGuard, OpenVPN і IKEv2 сустракаюцца па абодва бакі рынку: адна зборка адпраўляе хатні трафік вонкі, іншая прымае вашу аддаленую прыладу. Зборку толькі для кліента немагчыма ператварыць у сервер праз налады, як бы ні было сфармулявана меню.

Стварыць зваротны маршрут

WireGuard-сервер на роўтары мае адрас інтэрфейсу, напрыклад 10.8.0.1/24, і запіс партнёра для ноўтбука. Кліент вырашае, якія прызначэнні ён адправіць у тунэль, і спіс, які змяшчае толькі падсетку тунэля, пакідае лакальную сетку нябачнай, як бы ні быў наладжаны сервер. Абодва бакі павінны пагадзіцца, а рэдагуецца звычайна толькі адзін з іх.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Першая каманда паведамляе, што кожнаму партнёру дазволена адпраўляць з пункту гледжання сервера; другая паведамляе, куды адрас лакальнай сеткі фактычна пойдзе на кліенце. Прызначэнне лакальнай сеткі, якое развязваецца ў інтэрфейс тунэля, — гэта маршрутызацыя, якая працуе, а тое, што выходзіць праз фізічны шлюз, ніколі не дасягне мэты, што б ні казаў файрвол. Дадайце прэфікс лакальнай сеткі ў дазволены спіс кліента, і тыя ж дзве каманды стануць крокам праверкі, а не дыягнастыкай.

Для шлюзаў IPsec той жа крок апісвае дакументацыя strongSwan па перасылцы, дзе перасылка і правіла source-NAT злучаюць кліента тунэля з унутраным хостам. Адрасацыя адрозніваецца; патрабаванне — не.

Хто можа адкрываць адмін-старонку

Кантроль доступу належыць роўтару, а не намеру быць асцярожным. Дазвольце толькі аўтэнтыфікаваную ідэнтычнасць тунэля або дыяпазон крыніц, якому патрэбна старонка, і чытайце ўласны ланцуг уваходу роўтара, а таксама любую палітыку перасылкі для лакальнай сеткі. Правіла, якое дазваляе дратовай лакальнай сетцы дасягаць адмін-старонкі, нічога не кажа пра кліента, што прыходзіць на інтэрфейс тунэля. Напішыце выключэнне для пэўнай ідэнтычнасці, затым пакіньце другую ідэнтычнасць, якой павінна быць адмоўлена.

Слухач — гэта другая палова, і яна нябачная ў вывадзе файрвола. ss -ltnp паказвае адрас, да якога прывязаны вэб-сервер, а сэрвіс, прывязаны толькі да адраса лакальнай сеткі, не адкажа на адрасе тунэля, якімі б дазвольнымі ні былі правілы. Перапрывязаць яго або дадаць адрас — гэта змена налад на роўтары, а не змена файрвола.

Трымайце аўтэнтыфікацыю і праверку транспарту ўключанымі за адзін праход. Дасягальнасць — яшчэ не давер, і не кожная прылада ўнутры тунэля становіцца адміністратарам. Уліковыя даныя тунэля і ўліковы запіс роўтара — асобныя прывілеі з асобнымі жыццёвымі цыкламі, таму ключ страчанага ноўтбука можна адклікаць, не скідваючы паролі ўсіх адміністратараў.

Тэставанне звонку, а не з канапы

Тэстуйце з сеткі, якой вы не кіруеце. Падключыцеся праз дазволены тунэль, адкрыйце свежую адмін-сесію і змяніце нешта бясшкоднае, што бачна на старонцы. З канапы вы даказваеце, што лакальная сетка працуе, а гэта ніколі не было пад сумневам.

Затым праверце адмовы з такой жа стараннасцю. Паспрабуйце адкрыць старонку без тунэля і пераканайцеся, што яна не адкрываецца, і пераканайцеся, што служба адміністравання наогул не слухае адрас WAN. Старонка, якая проста не звязана спасылкай, — не кантроль доступу, а слухач на WAN, які паказвае форму ўваходу, застаецца слухачом на WAN. Калі пароль — адзінае паміж інтэрнэтам і кансоллю роўтара, то праект — гэта пароль.

Хатнія сэрвісы варта агледзець, пакуль вы там. Узмацненне правілаў кіравання часта ламае гасцявую сетку або рэзалвер, якім карыстаюцца сямейныя прылады, і гэта ўсплывае праз дні як непаўязаная скарга.

Захаваць шлях назад, пакуль вы ўносіце змены

Перш чым змяняць маршруты або налады тунэля аддалена, падрыхтуйце незалежны шлях назад. Існуючая сесія можа перажыць змену, якая ўжо блакуе новыя злучэнні, і менавіта так людзі замыкаюць сябе, назіраючы за сесіяй, якая яшчэ працуе. Варыянты канкрэтныя: запланаваная перазагрузка ў вядомую канфігурацыю, кансольны або фізічны доступ, другі тунэль, які не залежыць ад налады, што рэдагуецца, або пазапалоснае кіраванне, дзе абсталяванне яго прапануе. Выберыце адзін і дакажыце яго да акна абслугоўвання, а не падчас яго.

Трымайце запіс кароткім і актуальным: які хост завяршае тунэль, якія ідэнтычнасці могуць дасягаць старонкі, да якога адраса прывязаны сэрвіс і як адклікаецца страчаная прылада. Гэты спіс адначасова служыць планам аднаўлення, бо паказвае, дзе жыве кожная залежнасць. Адсутны зваротны маршрут — гэта праблема маршрутызацыі, якую трэба выправіць, і гэта ніколі не прычына публікаваць адміністраванне на WAN.