Arriba a la pàgina d’administració del router per VPN, no per la WAN

La pàgina d’administració del router s’obre en dos segons des del sofà i expira des d’una habitació d’hotel, mentre el client VPN informa que està connectat tot el temps. El que tens és una via de sortida, no una via de tornada: el túnel porta el teu trànsit a internet i s’atura aquí. Per arribar a un dispositiu dins de la teva pròpia LAN cal una sessió que acabi en alguna cosa amb una ruta cap a ella. Això és una decisió de disseny, no un paràmetre, i determina si la resta de la feina és possible.

Aquesta distinció es perd fàcilment perquè un sol producte pot fer les dues feines. Un client de sortida comercial i un servidor d’accés remot poden parlar el mateix protocol al mateix port, i la diferència és quin costat posseeix l’espai d’adreces darrere del punt final.

Quin costat del túnel posseeix la LAN

Per administrar, el punt final ha de ser dins de la xarxa a la qual vols arribar, o tenir-hi un camí autoritzat. Un router que executa el seu propi servidor VPN compleix el requisit; també un petit equip sempre encès amb una adreça fixa i una ruta cap a la LAN. Un servei de sortida operat per tercers no el compleix, perquè el seu punt final no té cap interfície a la teva LAN ni cap regla que en permeti aparèixer una. Aquesta és la comprovació que cal acabar abans de tocar res més.

El firmware poques vegades etiqueta aquesta diferència, així que llegeix què fa la funció i no quin protocol anomena. WireGuard, OpenVPN i IKEv2 apareixen tots dos costats del mercat: una compilació envia el trànsit domèstic cap enfora, una altra accepta el teu dispositiu remot. Una compilació només de client no es pot convertir en servidor per configuració, digui el que digui el menú.

Fer que existeixi la ruta de tornada

Un servidor WireGuard al router té una adreça d’interfície com ara 10.8.0.1/24 i una entrada de parell per a l’ordinador portàtil. El client decideix quines destinacions enviarà al túnel, i una llista que només conté la subxarxa del túnel deixa la LAN invisible, tant se val com estigui configurat el servidor. Els dos extrems s’han de posar d’acord, i normalment només se n’edita un.

wg show wg0 allowed-ips
ip route get 192.168.1.1

La primera ordre informa del que cada parell pot enviar des del punt de vista del servidor; la segona informa d’on aniria realment una adreça de la LAN al client. Una destinació de la LAN que es resol cap a la interfície del túnel és encaminament que funciona, i la que surt per la passarel·la física no arribarà mai, digui el que digui el tallafoc. Afegeix el prefix de la LAN a la llista permesa del client i les mateixes dues ordres esdevenen un pas de verificació en lloc d’un diagnòstic.

El mateix salt per a les passarel·les IPsec el descriu la documentació de reenviament de strongSwan, on el reenviament i una regla de NAT d’origen són el que connecta un client de túnel a un equip intern. L’adreçament és diferent; el requisit no.

Qui pot obrir la pàgina d’administració

El control d’accés pertany al router, no a la intenció de ser curós. Permet només la identitat de túnel autenticada o el rang d’origen que necessita la pàgina, i llegeix la cadena d’entrada del propi router així com qualsevol política de LAN reenviada. Una regla que deixa que la LAN cablejada arribi a la pàgina d’administració no diu res sobre un client que arriba per la interfície del túnel. Escriu l’excepció per a una identitat concreta i després mantén una segona identitat que s’hagi de rebutjar.

L’oient és l’altra meitat i és invisible a la sortida del tallafoc. ss -ltnp mostra l’adreça a la qual està lligat el servidor web, i un servei lligat només a l’adreça de la LAN no respondrà a l’adreça del túnel per permissives que siguin les regles. Tornar-lo a lligar o afegir-hi una adreça és un canvi de configuració al router, no un canvi de tallafoc.

Mantén l’autenticació i la validació del transport activades en la mateixa passada. Arribar-hi no és confiar-hi, i cada dispositiu dins d’un túnel no es converteix per això en administrador. La credencial del túnel i el compte del router són privilegis separats amb cicles de vida separats, així que la clau d’un portàtil perdut es pot revocar sense restablir la contrasenya de cada administrador.

Provar des de fora, no des del sofà

Prova des d’una xarxa que no controlis. Connecta’t pel túnel aprovat, obre una sessió d’administració nova i canvia alguna cosa inofensiva que vegis reflectida a la pàgina. Des del sofà demostres que la LAN funciona, cosa que mai no estava en dubte.

Després prova els rebuigs amb la mateixa cura. Intenta obrir la pàgina sense el túnel i confirma que falla, i confirma que el servei d’administració no escolta gens a l’adreça WAN. Una pàgina que només no està enllaçada no és control d’accés, i un oient a la WAN que mostra un formulari d’accés continua sent un oient a la WAN. Si una contrasenya és l’única cosa entre internet i la consola del router, el disseny és una contrasenya.

Els serveis de casa mereixen una ullada mentre hi ets. Endurir les regles de gestió sovint trenca la xarxa de convidats o el resolutor que fan servir els dispositius de la família, i això apareix dies després com una queixa no relacionada.

Mantenir una via de tornada mentre canvies coses

Abans de canviar rutes o paràmetres del túnel en remot, prepara una via de tornada independent. Una sessió existent pot sobreviure al canvi que ja bloqueja connexions noves, i és exactament així com la gent es deixa fora mentre mira una sessió que encara funciona. Les opcions són concretes: un reinici programat a una configuració coneguda, accés per consola o físic, un segon túnel que no depengui del paràmetre que s’edita, o gestió fora de banda on el maquinari ho ofereixi. Tria’n una i demostra-la abans de la finestra de manteniment, no durant.

Mantén el registre curt i actual: quin equip acaba el túnel, quines identitats poden arribar a la pàgina, a quina adreça s’enllaça el servei i com es revoca un dispositiu perdut. Aquesta llista fa també de pla de recuperació, perquè diu on viu cada dependència. Una ruta de tornada absent és un problema d’encaminament que cal reparar, i mai no és motiu per publicar l’administració a la WAN.