Ke správě routeru přes VPN, ne přes WAN

Administrační stránka routeru se otevře za dvě sekundy z gauče a z hotelového pokoje vyprší, zatímco VPN klient celou dobu hlásí připojení. Máte cestu ven, ne cestu zpět: tunel nese váš provoz na internet a tam skončí. K dosažení zařízení ve vaší vlastní LAN je potřeba relace, která končí na něčem s cestou do ní. To je rozhodnutí o návrhu, ne nastavení, a určuje, zda je zbytek práce vůbec možný.

Tento rozdíl se snadno ztratí, protože jeden produkt umí obojí. Komerční výstupní klient a server pro vzdálený přístup mohou mluvit stejným protokolem na stejném portu a rozdíl je v tom, která strana vlastní adresní prostor za koncovým bodem.

Která strana tunelu vlastní LAN

Pro správu musí koncový bod ležet uvnitř sítě, ke které se chcete dostat, nebo mít do ní povolenou cestu. Router provozující vlastní VPN server vyhovuje; stejně tak malý stále zapnutý host s pevnou adresou a cestou do LAN. Výstupní služba provozovaná třetí stranou nevyhovuje, protože její koncový bod nemá v vaší LAN žádné rozhraní ani pravidlo, které by mu umožnilo se objevit. To je kontrola, kterou je třeba dokončit, než se dotknete čehokoli jiného.

Firmware tento rozdíl málokdy označí, proto čtěte, co funkce dělá, ne jaký protokol jmenuje. WireGuard, OpenVPN a IKEv2 se objevují na obou stranách trhu: jedna sestava posílá domácí provoz ven, druhá přijímá vaše vzdálené zařízení. Sestavu pouze pro klienta nelze konfigurací proměnit v server, ať je menu formulováno jakkoli.

Vytvořit zpětnou cestu

WireGuard server na routeru má adresu rozhraní jako 10.8.0.1/24 a záznam protějšku pro notebook. Klient rozhoduje, které cíle pošle do tunelu, a seznam obsahující jen podsíť tunelu nechá LAN neviditelnou, ať je server nakonfigurován jakkoli. Obě strany se musí shodnout a obvykle se upravuje jen jedna z nich.

wg show wg0 allowed-ips
ip route get 192.168.1.1

První příkaz hlásí, co smí každý protějšek odesílat z pohledu serveru; druhý hlásí, kam by adresa z LAN na klientovi skutečně šla. Cíl v LAN, který se přeloží na rozhraní tunelu, je fungující směrování, a ten, který vychází přes fyzickou bránu, nikdy nedorazí, ať firewall říká cokoli. Přidejte prefix LAN do povoleného seznamu klienta a tytéž dva příkazy se stanou krokem ověření místo diagnostiky.

Stejný skok pro brány IPsec popisuje dokumentace strongSwan k přesměrování, kde přesměrování a pravidlo source-NAT spojují klienta tunelu s interním hostem. Adresování se liší; požadavek ne.

Kdo smí otevřít administrační stránku

Řízení přístupu patří na router, ne do úmyslu být opatrný. Povolte jen ověřenou identitu tunelu nebo rozsah zdrojů, který stránku potřebuje, a čtěte vlastní vstupní řetězec routeru i jakoukoli předávanou politiku LAN. Pravidlo, které umožňuje kabelové LAN dosáhnout administrační stránky, neříká nic o klientovi přicházejícím na rozhraní tunelu. Napište výjimku pro konkrétní identitu a pak ponechte druhou identitu, které má být odmítnuto.

Naslouchač je druhá polovina a ve výstupu firewallu není vidět. ss -ltnp ukazuje adresu, ke které je webový server připoután, a služba připoutaná jen k adrese LAN neodpoví na adrese tunelu, ať jsou pravidla jakkoli benevolentní. Připoutat ji jinam nebo přidat adresu je změna konfigurace routeru, ne firewallu.

Nechte ověřování a validaci transportu zapnuté v témže průchodu. Dostupnost není důvěra a každé zařízení uvnitř tunelu se tím nestává správcem. Přihlašovací údaj tunelu a účet routeru jsou oddělená oprávnění s oddělenými životními cykly, takže klíč ztraceného notebooku lze odvolat bez resetování hesel všech správců.

Testovat zvenku, ne z gauče

Testujte ze sítě, kterou neovládáte. Připojte se přes schválený tunel, otevřete novou administrační relaci a změňte něco neškodného, co uvidíte na stránce. Z gauče dokazujete, že LAN funguje, což nikdy nebylo sporné.

Pak otestujte odmítnutí se stejnou péčí. Zkuste stránku bez tunelu a potvrďte, že selže, a potvrďte, že administrační služba vůbec neposlouchá na adrese WAN. Stránka, která jen není odkazovaná, není řízení přístupu, a naslouchač na WAN zobrazující přihlašovací formulář je pořád naslouchač na WAN. Pokud je heslo jediné mezi internetem a konzolí routeru, je návrhem heslo.

Domácí služby si zaslouží pohled, dokud tam jste. Zpřísnění pravidel správy často rozbije hostující síť nebo resolver, který používají rodinná zařízení, a to se o dny později objeví jako nesouvisející stížnost.

Zachovat cestu zpět, když něco měníte

Než změníte trasy nebo nastavení tunelu na dálku, připravte si nezávislou cestu zpět. Existující relace může přežít změnu, která už blokuje nová připojení, a přesně tak se lidé zamknou, když sledují relaci, která ještě funguje. Možnosti jsou konkrétní: naplánovaný restart do známé konfigurace, konzolový nebo fyzický přístup, druhý tunel nezávislý na upravovaném nastavení, nebo mimosměrová správa, kde ji hardware nabízí. Vyberte jednu a prokažte ji před oknem údržby, ne během něj.

Vedte záznam krátký a aktuální: který host ukončuje tunel, které identity mohou dosáhnout stránky, ke které adrese se služba váže a jak se odvolá ztracené zařízení. Ten seznam slouží i jako plán obnovy, protože říká, kde každá závislost žije. Chybějící zpětná cesta je problém směrování k opravě a nikdy není důvodem publikovat správu na WAN.