Достъп до административната страница на рутера през VPN, а не през WAN

Административната страница на рутера се отваря за две секунди от дивана и изтича от хотелска стая, докато VPN клиентът през цялото време съобщава, че е свързан. Това, което имате, е път навън, а не път обратно: тунелът носи трафика ви към интернет и спира там. Достигането на устройство във вашата собствена локална мрежа изисква сесия, която завършва на нещо с маршрут към нея. Това е решение за дизайна, а не настройка, и то определя дали останалата работа е възможна изобщо.

Тази разлика лесно се губи, защото един продукт може да върши и двете задачи. Търговски клиент за изход и сървър за отдалечен достъп могат да говорят по един и същ протокол на един и същ порт, а разликата е коя страна притежава адресното пространство зад крайната точка.

Коя страна на тунела притежава локалната мрежа

За администриране крайната точка трябва да е вътре в мрежата, която искате да достигнете, или да има разрешен път към нея. Рутер, който работи със собствен VPN сървър, отговаря на условието; също и малък постоянно включен хост с фиксиран адрес и маршрут към локалната мрежа. Изходна услуга, управлявана от трета страна, не отговаря, защото крайната ѝ точка няма интерфейс във вашата локална мрежа и няма правило, което да позволи такъв да се появи. Това е проверката, която трябва да завършите, преди да пипате друго.

Фърмуерът рядко обозначава тази разлика, затова четете какво прави функцията, а не какъв протокол назовава. WireGuard, OpenVPN и IKEv2 се срещат от двете страни на пазара: една сборка изпраща домашния трафик навън, друга приема отдалеченото ви устройство. Сборка само за клиент не може да се превърне в сървър чрез конфигурация, както и да е формулирано менюто.

Да създадем обратния маршрут

WireGuard сървър на рутера има адрес на интерфейса като 10.8.0.1/24 и запис за партньор за лаптопа. Клиентът решава кои дестинации ще изпраща в тунела, а списък, съдържащ само подмрежата на тунела, оставя локалната мрежа невидима, както и да е конфигуриран сървърът. Двете страни трябва да се съгласят, а обикновено се редактира само една от тях.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Първата команда показва какво на всеки партньор е разрешено да изпраща от гледна точка на сървъра; втората показва накъде адрес от локалната мрежа действително ще тръгне на клиента. Дестинация в локалната мрежа, която се разрешава към интерфейса на тунела, е работещо маршрутизиране, а тази, която излиза през физическия шлюз, никога няма да пристигне, каквото и да казва защитната стена. Добавете префикса на локалната мрежа в разрешения списък на клиента и същите две команди стават стъпка за проверка, а не диагностика.

Същата стъпка за IPsec шлюзове описва документацията на strongSwan за препращане, където препращането и правило за source-NAT са това, което свързва клиент на тунел с вътрешен хост. Адресацията се различава; изискването — не.

Кой може да отваря административната страница

Контролът на достъпа принадлежи на рутера, а не на намерението да бъдем внимателни. Разрешете само удостоверената идентичност на тунела или диапазона от източници, който се нуждае от страницата, и четете собствената входна верига на рутера, както и всяка политика за препращане към локалната мрежа. Правило, което позволява на кабелната локална мрежа да достигне административната страница, не казва нищо за клиент, пристигащ на интерфейса на тунела. Напишете изключението за конкретна идентичност, после задръжте втора идентичност, на която трябва да се откаже.

Слушателят е другата половина и е невидим в изхода на защитната стена. ss -ltnp показва адреса, към който е вързан уеб сървърът, а услуга, вързана само към адреса на локалната мрежа, няма да отговори на адреса на тунела, колкото и разрешаващи да са правилата. Преобвързването ѝ или добавянето на адрес е промяна в конфигурацията на рутера, а не в защитната стена.

Дръжте удостоверяването и проверката на транспорта включени в същия проход. Достижимостта не е доверие, и всяко устройство вътре в тунел не става с това администратор. Идентификационните данни на тунела и акаунтът на рутера са отделни привилегии с отделни жизнени цикли, така че ключът на изгубен лаптоп може да бъде отменен, без да се нулира паролата на всеки администратор.

Тестване отвън, не от дивана

Тествайте от мрежа, която не контролирате. Свържете се през одобрения тунел, отворете нова административна сесия и променете нещо безвредно, което виждате отразено на страницата. От дивана доказвате, че локалната мрежа работи, което никога не е било под съмнение.

После тествайте отказите със същото старание. Опитайте страницата без тунела и потвърдете, че се проваля, и потвърдете, че административната услуга изобщо не слуша на адреса на WAN. Страница, която просто не е свързана с връзка, не е контрол на достъпа, а слушател на WAN, който показва форма за вход, все още е слушател на WAN. Ако паролата е единственото между интернет и конзолата на рутера, дизайнът е парола.

Домашните услуги заслужават един поглед, докато сте там. Затягането на правилата за управление често чупи гостуващата мрежа или резолвера, който семейните устройства използват, и това излиза дни по-късно като несвързана оплакване.

Да запазите път обратно, докато променяте неща

Преди да променяте маршрути или настройки на тунела отдалечено, подгответе независим път обратно. Съществуваща сесия може да преживее промяната, която вече блокира нови връзки, и точно така хората се заключват, докато гледат сесия, която още работи. Опциите са конкретни: планирано рестартиране към известна конфигурация, конзолен или физически достъп, втори тунел, който не зависи от настройката, която се редактира, или извънлентово управление, където хардуерът го предлага. Изберете една и я докажете преди прозореца за поддръжка, а не по време на него.

Дръжте записа кратък и актуален: кой хост завършва тунела, кои идентичности могат да достигнат страницата, към кой адрес се вързва услугата и как се отменя изгубено устройство. Този списък служи и като план за възстановяване, защото казва къде живее всяка зависимост. Липсващият обратен маршрут е проблем с маршрутизирането за поправяне и никога не е причина да публикувате администриране на WAN.