Pam mae gweinyddiaeth y llwybrydd yn stopio ateb ar ôl newid VPN

Rydych wedi newid llwybr neu reol wal dân i brofi twnnel ar y llwybrydd, ac yn awr nid yw'r dudalen weinyddiaeth yn ateb o'r gliniadur a oedd yn iawn ddeng munud ynghynt. Y reddf yw beio'r VPN. Y rhan fwyaf o'r amser mae'r twnnel yn iach a methodd un o dri pheth arall: nid oes llwybr yn ôl i gyfeiriad y llwybrydd ei hun, mae polisi mewnbwn yn gollwng y cais, neu nid yw gwasanaeth gwe yn gwrando ar y cyfeiriad rydych yn galw arno. Mae'r tri yn edrych yn unfath yn y porwr, a dyna pam mae pobl yn ailgychwyn y twnnel am awr ac yn dysgu dim.

Dyma'r myth sy'n werth ei ladd gyntaf: nid yw twnnel sy'n gweithio yn ffordd yn ôl i mewn. Mae'n gysylltiad rhwydwaith newydd gyda'i gwestiynau ymddiriedaeth ei hun, a gall ddileu eich hen lwybr rheoli'n dawel wrth agor un newydd na chafodd neb ei adolygu.

Nid oedd y twnnel erioed yn llwybr rheoli

Mae anfon ymlaen a mewnbwn yn wahanol waith. "A all cleient gyrraedd y NAS drwy'r twnnel?" cwestiwn anfon ymlaen yw am becynnau sy'n mynd drwy'r llwybrydd. "A gaf agor porth SSH y llwybrydd?" cwestiwn mewnbwn yw am becynnau a gyfeirir at y llwybrydd ei hun. Nid yw rheol ganiatáu a ysgrifennwyd ar gyfer traffig a anfonwyd ymlaen yn gwneud dim i'r ail gwestiwn, a dyma'r rheswm mwyaf cyffredin pam mae twnnel sy'n cario traffig yn berffaith yn dal i wrthod eich sesiwn weinyddiaeth.

Y camgymeriad gwrthwyneb yw ymddiried mewn enw rhyngwyneb. Mae twnnel yn cael ei amgryptio i'r cymar, nid i bob gwasanaeth y tu ôl iddo, ac nid yw'r gair VPN mewn label rhyngwyneb yn dweud dim am ba ffynonellau y dylid caniatáu iddynt fewngofnodi.

Haen un: a oes llwybr i gyfeiriad y llwybrydd ei hun?

Dechreuwch ar y cleient a gofynnwch i'r cnewyllyn i ble bydd y pecyn yn mynd. Ar Linux mae ip route get 10.6.0.1 yn argraffu'r llwybr a ddewiswyd, y rhyngwyneb allanfa a'r cyfeiriad ffynhonnell. Os yw'n adrodd y llwybr diofyn tuag at eich ISP, nid yw'r pecyn byth yn mynd i'r twnnel, ac ni all unrhyw reol ar y llwybrydd ei achub.

Mae gan ochr y twnnel ei fersiwn ei hun o'r cwestiwn. Mae WireGuard yn trin AllowedIPs fel tabl llwybro cryptogoriadur: ar bob pen mae'n datgan pa gyfeiriadau ffynhonnell y caiff cymar eu defnyddio a pha gyrchfannau a anfonir at y cymar hwnnw. Os nad yw cofnod y cleient yn cynnwys cyfeiriad twnnel y llwybrydd, nid oes gan y cleient lwybr iddo. Os nad yw cofnod y gweinydd ar gyfer y cleient hwnnw yn cwmpasu cyfeiriad twnnel y cleient, mae'r gweinydd yn gollwng y pecyn cyn i unrhyw reol wal dân gael ei hystyried.

Cadarnhewch yr union gyfeiriad rydych yn disgwyl ei gyrraedd cyn dadfygio polisi. Mae cofnod DNS hen neu gofnod cymydog wedi'i gastio o flaen y newid yn eich anfon i gyfeiriad na fu gan y llwybrydd erioed.

Haen dau: y polisi mewnbwn, nid y polisi anfon ymlaen

Mae waliau tân yn gwerthuso rheolau ar y rhyngwyneb lle mae'r pecyn yn cyrraedd. Ar pfSense ac OPNsense mae tab y rhyngwyneb a threfn y rheolau yn penderfynu a yw traffig i wasanaethau'r wal dân ei hun yn cael ei ganiatáu; nid yw rheol sy'n gadael cleientiaid LAN allan i'r rhyngrwyd yn rheol sy'n caniatáu i gymar twnnel agor y GUI gwe. Ar OpenWrt gyda firewall4 mae gan bob parth bolisi mewnbwn, option input 'ACCEPT' neu 'REJECT', a bydd rhyngwyneb twnnel mewn parth ag mewnbwn REJECT yn gwrthod cysylltiadau rheoli tra'n dal i anfon traffig ymlaen os caniateir anfon ymlaen.

Peidiwch â diffodd y rheol gwrth-gloi i wneud i'r llwybr newydd weithio. Mae'r rheol honno'n cadw cyfeiriad rheoli LAN rhag cael ei gloi allan gan reol wael; mae'n amddiffyn isrwydwaith LAN, nid isrwydwaith y twnnel a greoddch chi newydd. Ychwanegwch un rheol gul ar gyfer ffynhonnell y gweinyddwr a gadewch y rhwyd ddiogelwch yn llonydd. Mae dogfennaeth pfSense am fynediad gweinyddol yn egluro ble mae'r rheolyddion hynny.

# on the router: bind addresses and the loaded ruleset
ss -ltnp | grep -E ':(22|80|443)\b'         # Linux / OpenWrt
sockstat -4 -l | grep -E ':(22|80|443)\b'   # FreeBSD / pfSense
nft list ruleset | grep -A6 'chain input'    # firewall4
pfctl -sr | head -40                         # pf / pfSense

Haen tri: a oes unrhyw beth yn gwrando ar y cyfeiriad hwnnw?

Gall gwasanaeth fod yn rhedeg ac eto'n anghyrraeddadwy oherwydd iddo rwymo i un cyfeiriad. Mae uhttpd OpenWrt yn cadw cofnodion gwrando penodol yn /etc/config/uhttpd, er enghraifft list listen_http '0.0.0.0:80'; nid yw adeiladwaith sy'n rhwymo i gyfeiriad LAN yn unig yn derbyn dim ar gyfeiriad y twnnel, ac mae cynhyrchion sy'n dangos gosodiad rhyngwyneb gwrando yn ymddwyn yr un fath. Mae'r gorchmynion gwrando uchod yn ateb hyn yn uniongyrchol.

Yna gwahanwch wrthod oddi wrth dawelwch. Mae nc -vz 10.6.0.1 443 yn dychwelyd cysylltiad a wrthodwyd yn golygu bod y pecyn wedi cyrraedd y llwybrydd a bod rhywbeth wedi'i wrthod, naill ai porth caeedig neu reol gwrthod benodol. Mae hongian tan derfyn amser yn golygu bod y pecyn wedi'i ollwng neu na chafodd ei lwybro erioed. Mae'r gwahaniaeth hwnnw'n dweud pa haen i'w harchwilio nesaf, ac mae'n costio pum eiliad.

Mae rhyngwyneb VPN yn ffin, nid yn llwybr adfer

Mae amgryptio'n amddiffyn y wifren; nid yw'n dweud dim am bwy gaiff agor y dudalen weinyddiaeth. Unwaith y bydd y twnnel yn gweithio, gwrthwynebwch yr awydd i ddatrys cyrraeddadwyedd drwy ganiatáu popeth ar ryngwyneb y twnnel. Rhowch reol i weinyddwyr wedi'i chlymu i'w cyfeiriad twnnel eu hunain neu dwnnel ar wahân ar gyfer gweinyddwyr yn unig, a chadwch ddefnyddwyr cyffredin, y NAS, y camerâu a gliniaduron y teulu draw oddi wrth y porth rheoli. Ni ddylai cymar sydd angen rhannu ffeiliau fod un rheol oddi wrth fewngofnod y llwybrydd.

Mae rôl y llwybrydd yn newid yr ateb. Gall llwybrydd sy'n terfynu'r twnnel dderbyn gweinyddwyr ohono'n gyfreithlon, tra na ddylai llwybrydd sy'n defnyddio'r twnnel fel allanfa rhyngrwyd yn unig wneud hynny fel arfer. Yn y ddau achos nid y caniatâd isrwydwaith yw'r mewngofnod, felly cadwch dilysu cyfrif a diogelwch cludiant yn alluog.

Mae'r symudiad iawndal y mae pobl yn ei wneud ar ôl cloi allan yn waeth: galluogi gweinyddiaeth WAN neu anfon porth ymlaen i'r GUI gwe. Mae hynny'n troi methiant byr yn amlygiad parhaol, ac mae'r dudalen fewngofnodi wedyn yn gyrraeddadwy i bob sganiwr ar y rhyngrwyd. Profwch yr ochr a wrthodwyd yn ogystal â'r ochr a ganiateir, fel bod cymar na ddylai gael mynediad gweinyddol yn cael terfyn amser neu wrthodiad yn lle anogwr mewngofnodi.

Profwch gyda chysylltiad newydd hefyd. Mae wal dân cyflwr yn cadw ffrydiau presennol yn ei dabl cyflwr, felly gall y sesiwn SSH sydd gennych yn barod oroesi newid sy'n blocio pob cysylltiad newydd. Dyna sut mae cloi allan yn aros yn anweledig tan yr ailgychwyn nesaf neu gwsg nesaf y gliniadur.

Paratowch y ffordd yn ôl cyn i chi gyffwrdd â pholisi

Ysgrifennwch bedair peth cyn y newid cyntaf: sut y byddwch yn cyrraedd y ddyfais os bydd y twnnel yn marw, fel consol gyfresol, consol darparwr neu beiriant ar y LAN; i ble mae'r ffurfweddiad presennol yn cael ei allforio; pa un rheol neu lwybr rydych ar fin ei addasu; a sut y byddwch yn dychwelyd yr eitem honno'n union. Ar OpenWrt mae sysupgrade -b /tmp/backup.tar.gz yn cipio'r ffurfweddiad, ac mae golygiadau'n aros yn ôl tan uci commit, sy'n rhoi dad-wneud rhad i chi os sylwch mewn pryd. Mae pfSense yn cadw hanes ffurfweddiad, ac nid yw AutoConfigBackup yn helpu oni bai ei fod eisoes wedi'i alluogi. Os yw'r llwybrydd yn rhedeg set reolau fail-closed, cadarnhewch nad yw'r llwybr cynnal a gynlluniwyd gennych y tu mewn i'r traffig y mae'r rheol honno'n ei flocio, a chofiwch fod ailgychwyn yn ailddefnyddio rheolau parhaol yn hytrach na'u clirio.

Newidiwch un ffin y tro, yna profwch o gysylltiad newydd yn hytrach na'r plisgyn rydych yn ei gadw ar agor. Os bydd y prawf yn methu, dychwelwch yr un newid hwnnw cyn cyffwrdd â'r haen nesaf. Gall y twnnel aros i fyny drwy'r amser, ond nid yw ei eicon statws gwyrdd yn brawf y gallwch fynd i mewn o hyd.

Gwiriad cyflym cyn i chi fynd:

• A allwch gyrraedd y llwybrydd o ffynhonnell nad yw'n dibynnu ar y rheol a olygwyd gennych newydd?
• A yw'r polisi mewnbwn ar ryngwyneb y twnnel yn caniatáu ffynhonnell y gweinyddwr yn unig?
• A yw'r gwasanaeth rheoli wedi'i rwymo i gyfeiriad sy'n bodoli ar y twnnel?
• A brofwyd gennych un cymar a wrthodwyd ac un sesiwn newydd?
• A yw arwyneb gweinyddiaeth WAN yn dal ar gau?