Cyrraedd tudalen weinyddu’r llwybrydd dros VPN, nid dros y WAN

Mae tudalen weinyddu’r llwybrydd yn agor mewn dwy eiliad o’r soffa ac yn dod i ben o ystafell gwesty, tra bo’r cleient VPN yn dweud ei fod wedi cysylltu drwy’r amser. Yr hyn sydd gennych yw ffordd allan, nid ffordd yn ôl: mae’r twnnel yn cario’ch traffig i’r rhyngrwyd ac yn stopio yno. I gyrraedd dyfais y tu mewn i’ch LAN eich hun mae angen sesiwn sy’n terfynu ar rywbeth sydd â llwybr iddi. Penderfyniad dylunio yw hyn, nid gosodiad, ac mae’n pennu a yw gweddill y gwaith yn bosibl o gwbl.

Mae’n hawdd colli’r gwahaniaeth hwn oherwydd gall un cynnyrch wneud y ddau dasg. Gall cleient allanfa masnachol a gweinydd mynediad o bell siarad yr un protocol ar yr un porth, a’r gwahaniaeth yw pa ochr sy’n berchen ar y gofod cyfeiriadau y tu ôl i’r pwynt terfyn.

Pa ochr o’r twnnel sy’n berchen ar y LAN

Ar gyfer gweinyddu rhaid i’r pwynt terfyn fod o fewn y rhwydwaith yr ydych am ei gyrraedd, neu fod â llwybr awdurdodedig iddo. Mae llwybrydd sy’n rhedeg ei weinydd VPN ei hun yn gymwys; felly hefyd westiwr bach bob amser ymlaen â chyfeiriad sefydlog a llwybr i’r LAN. Nid yw gwasanaeth allanfa a weithredir gan drydydd parti yn gymwys, oherwydd nid oes gan ei bwynt terfyn ryngwyneb ar eich LAN na rheol a fyddai’n gadael i un ymddangos. Dyma’r gwiriad i’w gwblhau cyn cyffwrdd ag unrhyw beth arall.

Anaml y mae cadarnwedd yn labelu’r gwahaniaeth hwnnw, felly darllenwch beth mae’r nodwedd yn ei wneud yn hytrach na pha brotocol y mae’n ei enwi. WireGuard, OpenVPN ac IKEv2 i gyd yn ymddangos ar ddwy ochr y farchnad: mae un adeiladwaith yn anfon traffig y cartref allan, ac un arall yn derbyn eich dyfais bell. Ni ellir troi adeiladwaith cleient yn unig yn weinydd drwy ffurfweddiad, sut bynnag y geiriadwyd y ddewislen.

Gwneud i’r llwybr dychwelyd fodoli

Mae gan weinydd WireGuard ar y llwybrydd gyfeiriad rhyngwyneb fel 10.8.0.1/24 a chofnod cymar ar gyfer y gliniadur. Mae’r cleient yn penderfynu pa gyrchfannau y bydd yn eu hanfon i’r twnnel, ac mae rhestr sy’n cynnwys is-rwyd y twnnel yn unig yn gadael y LAN yn anweledig sut bynnag y ffurfweddir y gweinydd. Rhaid i’r ddau ben gytuno, ac fel arfer dim ond un ohonynt sy’n cael ei olygu.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Mae’r gorchymyn cyntaf yn nodi beth y caniateir i bob cymar ei anfon o safbwynt y gweinydd; mae’r ail yn nodi i ble y byddai cyfeiriad LAN yn mynd mewn gwirionedd ar y cleient. Mae cyrchfan LAN sy’n datrys i ryngwyneb y twnnel yn llwybro sy’n gweithio, ac ni fydd un sy’n gadael drwy’r porth ffisegol byth yn cyrraedd, beth bynnag a ddywed y mur tân. Ychwanegwch ragflaen y LAN at restr ganiataol y cleient, a daw’r un ddau orchymyn yn gam dilysu yn hytrach na diagnosis.

Mae’r un naid ar gyfer pyrth IPsec yn cael ei disgrifio gan ddogfennaeth anfon ymlaen strongSwan, lle mae anfon ymlaen a rheol source-NAT yn cysylltu cleient twnnel â gwestiwr mewnol. Mae’r cyfeirio’n wahanol; nid yw’r gofyniad.

Pwy all agor y dudalen weinyddu

Mae rheolaeth mynediad yn perthyn i’r llwybrydd, nid i’r bwriad o fod yn ofalus. Caniatewch yn unig y hunaniaeth twnnel dilysedig neu’r amrediad ffynhonnell sydd angen y dudalen, a darllenwch gadwyn fewnbwn y llwybrydd ei hun ynghyd ag unrhyw bolisi LAN a anfonir ymlaen. Nid yw rheol sy’n gadael i’r LAN gwifrog gyrraedd y dudalen weinyddu yn dweud dim am gleient sy’n cyrraedd ar ryngwyneb y twnnel. Ysgrifennwch yr eithriad ar gyfer hunaniaeth benodol, yna cadwch ail hunaniaeth y dylid ei gwrthod.

Y gwrandäwr yw’r hanner arall ac mae’n anweledig yn allbwn y mur tân. ss -ltnp yn dangos y cyfeiriad y mae’r gweinydd gwe wedi’i rwymo iddo, ac ni fydd gwasanaeth sydd wedi’i rwymo at gyfeiriad y LAN yn unig yn ateb ar gyfeiriad y twnnel, pa mor ganiatäol bynnag yw’r rheolau. Mae ei ailrwymo neu ychwanegu cyfeiriad yn newid ffurfweddiad ar y llwybrydd, nid yn newid mur tân.

Cadwch ddilysu a gwirio’r cludiant ymlaen yn yr un pas. Nid yw cyrraedd yn golygu ymddiriedaeth, ac nid yw pob dyfais y tu mewn i dwnnel yn dod yn weinyddwr oherwydd hynny. Mae tystlythyrau’r twnnel a chyfrif y llwybrydd yn fraint ar wahân gyda chylchoedd bywyd ar wahân, felly gellir dirymu allwedd gliniadur coll heb ailosod cyfrinair pob gweinyddwr.

Profi o’r tu allan, nid o’r soffa

Profwch o rwydwaith nad ydych yn ei reoli. Cysylltwch drwy’r twnnel cymeradwy, agorwch sesiwn weinyddu newydd, a newidiwch rywbeth diniwed y gwelwch ei adlewyrchiad ar y dudalen. O’r soffa rydych yn profi bod y LAN yn gweithio, ac nid oedd hynny erioed yn amheus.

Yna profwch y gwrthodiadau gyda’r un gofal. Ceisiwch y dudalen heb y twnnel a chadarnhewch ei bod yn methu, a chadarnhewch nad yw’r gwasanaeth gweinyddu yn gwrando ar gyfeiriad WAN o gwbl. Nid yw tudalen sydd heb gyswllt yn unig yn rheolaeth mynediad, ac mae gwrandäwr WAN sy’n dangos ffurflen fewngofnodi yn dal i fod yn wrandäwr WAN. Os mai cyfrinair yw’r unig beth rhwng y rhyngrwyd a chonsol y llwybrydd, cyfrinair yw’r dyluniad.

Mae gwasanaethau’r cartref yn haeddu edrychiad tra byddwch yno. Mae tynhau rheolau rheoli yn aml yn torri’r rhwydwaith gwestai neu’r datryswr y mae dyfeisiau’r teulu yn ei ddefnyddio, ac mae hynny’n ymddangos ddyddiau’n ddiweddarach fel cwyn ddi-gysylltiad.

Cadw ffordd yn ôl tra byddwch yn newid pethau

Cyn newid llwybrau neu osodiadau twnnel o bell, paratowch ffordd yn ôl annibynnol. Gall sesiwn bresennol oroesi’r newid sydd eisoes yn rhwystro cysylltiadau newydd, a dyna’n union sut mae pobl yn cloi eu hunain allan wrth wylio sesiwn sy’n dal i weithio. Mae’r opsiynau’n diriaethol: ailgychwyn wedi’i drefnu i ffurfweddiad hysbys, mynediad consol neu gorfforol, ail dwnnel nad yw’n dibynnu ar y gosodiad sy’n cael ei olygu, neu reoli all-band lle mae’r caledwedd yn ei gynnig. Dewiswch un a’i brofi cyn y ffenestr gynnal a chadw yn hytrach nag yn ystod.

Cadwch y cofnod yn fyr ac yn gyfredol: pa westiwr sy’n terfynu’r twnnel, pa hunaniaethau all gyrraedd y dudalen, at ba gyfeiriad y mae’r gwasanaeth yn rhwymo, a sut y mae dyfais goll yn cael ei dirymu. Mae’r rhestr honno hefyd yn gynllun adfer, oherwydd mae’n dweud ble mae pob dibyniaeth yn byw. Mae llwybr dychwelyd ar goll yn broblem llwybro i’w thrwsio, ac nid yw byth yn rheswm i gyhoeddi gweinyddiaeth ar y WAN.