Do admin stranice rutera preko VPN-a, a ne preko WAN-a

Admin stranica rutera otvara se za dvije sekunde s kauča, a iz hotelske sobe istekne, dok VPN klijent cijelo vrijeme prijavljuje da je povezan. Ono što imate je put van, a ne put natrag: tunel nosi vaš promet na internet i tu se zaustavlja. Da biste dosegli uređaj unutar vlastitog LAN-a, potrebna je sesija koja završava na nečemu s rutom prema njemu. To je odluka o dizajnu, a ne postavka, i ona određuje je li ostatak posla uopće moguć.

Tu je razliku lako izgubiti jer jedan proizvod može raditi oba posla. Komercijalni izlazni klijent i poslužitelj za daljinski pristup mogu govoriti isti protokol na istom portu, a razlika je koja strana posjeduje adresni prostor iza krajnje točke.

Koja strana tunela posjeduje LAN

Za administraciju krajnja točka mora biti unutar mreže kojoj želite pristupiti ili imati ovlašten put u nju. Ruter koji pokreće vlastiti VPN poslužitelj ispunjava uvjet; isto tako mali stalno uključen host s fiksnom adresom i rutom prema LAN-u. Izlazna usluga koju upravlja treća strana ne ispunjava ga, jer njezina krajnja točka nema sučelje na vašem LAN-u ni pravilo koje bi mu omogućilo da se pojavi. To je provjera koju treba dovršiti prije nego što dotaknete bilo što drugo.

Firmver rijetko označava tu razliku, pa čitajte što značajka radi, a ne koji protokol navodi. WireGuard, OpenVPN i IKEv2 pojavljuju se na obje strane tržišta: jedna verzija šalje kućanski promet prema van, druga prihvaća vaš udaljeni uređaj. Verzija samo za klijenta ne može se konfiguracijom pretvoriti u poslužitelj, kako god meni bio sročen.

Stvoriti povratnu rutu

WireGuard poslužitelj na ruteru ima adresu sučelja poput 10.8.0.1/24 i zapis partnera za prijenosno računalo. Klijent odlučuje koja će odredišta poslati u tunel, a popis koji sadrži samo podmrežu tunela ostavlja LAN nevidljivim kako god poslužitelj bio konfiguriran. Obje strane moraju se složiti, a obično se uređuje samo jedna od njih.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Prva naredba izvješćuje što svakom partneru je dopušteno slati sa stajališta poslužitelja; druga izvješćuje kamo bi LAN adresa stvarno otišla na klijentu. LAN odredište koje se razrješava na sučelje tunela jest usmjeravanje koje radi, a ono koje izlazi kroz fizički pristupnik nikada neće stići, što god vatrozid rekao. Dodajte LAN prefiks na klijentov popis dopuštenih i iste dvije naredbe postaju korak provjere, a ne dijagnostika.

Isti skok za IPsec pristupnike opisuje strongSwan dokumentacija o prosljeđivanju, gdje prosljeđivanje i pravilo source-NAT povezuju klijenta tunela s unutarnjim hostom. Adresiranje se razlikuje; zahtjev ne.

Tko smije otvoriti admin stranicu

Kontrola pristupa pripada ruteru, a ne namjeri da budemo pažljivi. Dopustite samo autentificirani identitet tunela ili raspon izvora kojemu stranica treba, i čitajte vlastiti ulazni lanac rutera kao i svaku proslijeđenu LAN politiku. Pravilo koje žičanom LAN-u dopušta pristup admin stranici ne govori ništa o klijentu koji dolazi na sučelje tunela. Napišite iznimku za određeni identitet, pa zadržite drugi identitet kojemu treba biti odbijeno.

Slušatelj je druga polovica i nevidljiv je u izlazu vatrozida. ss -ltnp pokazuje adresu na koju je web poslužitelj vezan, a usluga vezana samo na LAN adresu neće odgovoriti na adresi tunela koliko god pravila bila dopuštajuća. Ponovno vezanje ili dodavanje adrese promjena je konfiguracije na ruteru, a ne vatrozida.

Držite autentifikaciju i provjeru prijenosa uključenima u istom prolazu. Dostupno nije povjerljivo, i svaki uređaj unutar tunela time ne postaje administrator. Vjerodajnica tunela i račun rutera odvojene su privilegije s odvojenim životnim ciklusima, pa se ključ izgubljenog prijenosnog računala može opozvati bez resetiranja lozinke svakog administratora.

Testiranje izvana, ne s kauča

Testirajte iz mreže koju ne kontrolirate. Povežite se preko odobrenog tunela, otvorite svježu admin sesiju i promijenite nešto bezazleno što vidite odraženo na stranici. S kauča dokazujete da LAN radi, što nikada nije bilo dvojbeno.

Zatim testirajte odbijanja s istom pažnjom. Pokušajte otvoriti stranicu bez tunela i potvrdite da ne uspijeva, i potvrdite da administracijska usluga uopće ne sluša na WAN adresi. Stranica koja je samo bez poveznice nije kontrola pristupa, a WAN slušatelj koji prikazuje obrazac za prijavu i dalje je WAN slušatelj. Ako je lozinka jedino između interneta i konzole rutera, dizajn je lozinka.

Kućne usluge zaslužuju pogled dok ste tamo. Pojačavanje pravila upravljanja često pokvari gostinsku mrežu ili razrješivač koji obiteljski uređaji koriste, a to se pojavi danima kasnije kao nepovezana pritužba.

Očuvati put natrag dok mijenjate stvari

Prije daljinske promjene ruta ili postavki tunela pripremite neovisan put natrag. Postojeća sesija može preživjeti promjenu koja već blokira nove veze, i upravo tako se ljudi zaključaju gledajući sesiju koja još radi. Mogućnosti su konkretne: zakazano ponovno pokretanje u poznatu konfiguraciju, konzolni ili fizički pristup, drugi tunel koji ne ovisi o postavci koja se uređuje, ili izvanpojasno upravljanje gdje ga hardver nudi. Odaberite jedno i dokažite ga prije prozora održavanja, a ne tijekom njega.

Držite zapis kratkim i ažurnim: koji host završava tunel, koji identiteti mogu doći do stranice, na koju se adresu usluga veže i kako se opoziva izgubljeni uređaj. Taj popis ujedno služi kao plan oporavka jer govori gdje živi svaka ovisnost. Nedostajuća povratna ruta problem je usmjeravanja koji treba popraviti i nikada nije razlog da administraciju objavite na WAN-u.