Υπερεπόπτης οικιακού εργαστηρίου μη προσβάσιμος μέσω VPN: πού να κοιτάξετε

Η σήραγγα ανεβαίνει, η ιστοσελίδα του υπερεπόπτη λήγει λόγω χρονικού ορίου και ο πελάτης λέει ότι είναι συνδεδεμένος. Αυτός ο συνδυασμός αποκλείει εντυπωσιακά πολλά: η χειραψία VPN λειτουργεί, ο πελάτης έχει διεύθυνση και το τελικό σημείο είναι προσβάσιμο. Αυτό που μένει είναι ένας σύντομος κατάλογος ερωτημάτων δρομολόγησης και πολιτικής, και έχουν φυσική σειρά. Δουλέψτε τα από τον υπερεπόπτη προς τα έξω και όχι από τον πελάτη προς τα μέσα, γιατί η κατάσταση του ίδιου του υπερεπόπτη είναι το φθηνότερο πράγμα που μπορεί να επιβεβαιωθεί.

Ξεκινήστε από το τμήμα διαχείρισης

Επιβεβαιώστε τη διεύθυνση διαχείρισης του υπερεπόπτη και την υπηρεσία που ακούει σε αυτήν, και επιβεβαιώστε ότι η σελίδα φορτώνει από άλλον κεντρικό υπολογιστή σε αυτό το τμήμα πριν διαγνώσετε οτιδήποτε απομακρυσμένο. Μια τοπική δοκιμή που αποτυγχάνει δεν είναι πρόβλημα VPN, και είναι ένας έλεγχος πέντε λεπτών που γλιτώνει μια ώρα.

Μετά τα δύο μονοπάτια. Ο πελάτης VPN χρειάζεται διαδρομή προς το δίκτυο διαχείρισης, που συνήθως σημαίνει ότι το AllowedIPs του πελάτη ή οι ωθημένες διαδρομές περιλαμβάνουν αυτό το υποδίκτυο. Ο υπερεπόπτης, ή η προεπιλεγμένη πύλη του, χρειάζεται διαδρομή επιστροφής προς τη δεξαμενή διευθύνσεων πελατών, εκτός αν ο σχεδιασμός μεταφράζει σκόπιμα την πηγή στην είσοδο. Αυτά είναι δύο ξεχωριστά γεγονότα και η απουσία οποιουδήποτε από τα δύο παράγει το ίδιο χρονικό όριο. Ελέγξτε τα ξεχωριστά: ip route get 192.168.10.20 στον πελάτη, και μια σύλληψη στον κεντρικό υπολογιστή του υπερεπόπτη που δείχνει αν το πακέτο έφτασε καθόλου.

Επιτρέψτε τον πραγματικό απομακρυσμένο διαχειριστή

Η εξουσιοδότηση είναι ξεχωριστό ζήτημα από την προσβασιμότητα. Χρησιμοποιήστε πολιτική πύλης και κεντρικού υπολογιστή περιορισμένη στις πηγές και τις υπηρεσίες που χρειάζονται πρόσβαση διαχείρισης. Ένας λογαριασμός VPN επισκέπτη που χρειάζεται μία εφαρμογή εργαστηρίου δεν πρέπει έτσι να φτάνει στο επίπεδο διαχείρισης, και ένας επίπεδος κανόνας που επιτρέπει όλο το υποδίκτυο της σήραγγας είναι το πώς συμβαίνει αυτό.

Κρατήστε ενεργή την αυθεντικοποίηση του ίδιου του υπερεπόπτη και τους ελέγχους πιστοποιητικών. Μια ιδιωτική διαδρομή δεν είναι λόγος να πατήσετε μέσα από μια απρόσμενη προειδοποίηση ταυτότητας.

Αξίζει να αντιμετωπίσετε την προειδοποίηση ως εύρημα και όχι ως εμπόδιο. Αν το πιστοποιητικό δεν ταιριάζει με το όνομα που χρησιμοποιήσατε, είτε το όνομα είναι λάθος είτε η υπηρεσία δεν είναι αυτή που νομίζετε, και οι δύο απαντήσεις μετρούν περισσότερο σε μια διεπαφή διαχείρισης από οπουδήποτε αλλού. Φτάστε στη σελίδα με το όνομα για το οποίο εκδόθηκε το πιστοποιητικό, και αφήστε το DNS να δείξει αυτό το όνομα στη διεύθυνση της σήραγγας. Ένα ιδιωτικό όνομα που επιλύεται ασυνεπώς μεταξύ LAN και σήραγγας είναι συνηθισμένη αιτία παραπόνων για πιστοποιητικά που μοιάζουν με βλάβες VPN.

Ελέγξτε τις δευτερεύουσες συνδέσεις

Ορισμένες λειτουργίες χρησιμοποιούν συνδέσεις που δεν χρησιμοποιεί η ιστοσελίδα. Μια συνεδρία κονσόλας, μια μεταφόρτωση ISO, ένας διακομιστής μεσολάβησης VNC ή SPICE και ένα κανάλι μετανάστευσης μπορούν το καθένα να χρησιμοποιεί διαφορετική θύρα ή διαφορετική διεύθυνση κεντρικού υπολογιστή. Όταν η σελίδα φορτώνει και μια λειτουργία αποτυγχάνει, διαβάστε την απαίτηση αυτού του προϊόντος αντί να ανοίγετε κάθε θύρα στον κεντρικό υπολογιστή.

Το άνοιγμα όλων είναι ο τρόπος με τον οποίο μια διεπαφή διαχείρισης γίνεται μη διαχειριζόμενη. Κάθε πρόσθετη θύρα είναι ένας ακόμη ακροατής που πρέπει να μένει ενημερωμένος, και ένας υπερεπόπτης εκθέτει ήδη αρκετούς. Προσδιορίστε τη συγκεκριμένη σύνδεση που χρειάζεται η λειτουργία, επιβεβαιώστε ότι είναι προσβάσιμη μέσω της σήραγγας, και αφήστε τις υπόλοιπες κλειστές. Αν η λειτουργία επιμένει σε άμεση σύνδεση με διεύθυνση κεντρικού υπολογιστή που δεν δρομολογείται μέσω της σήραγγας σας, αυτός είναι ένας περιορισμός σχεδίασης που παρακάμπτεται σκόπιμα, όχι λόγος να προωθήσετε ένα εύρος.

Κρατήστε δρόμο επιστροφής πριν αγγίξετε το δίκτυο

Πριν αλλάξετε το εικονικό δίκτυο που μεταφέρει το δικό σας VPN, επιβεβαιώστε ότι έχετε τοπικό ή ανεξάρτητο δρόμο επιστροφής.

Αυτό μετράει περισσότερο σε ένα οικιακό εργαστήριο, γιατί το τελικό σημείο του VPN είναι συχνά μια εικονική μηχανή στον ίδιο τον υπερεπόπτη που προσπαθείτε να φτάσετε. Η αλλαγή ενός εικονικού μεταγωγέα, μιας γέφυρας ή ενός κανόνα τείχους προστασίας από απόσταση μπορεί να αφαιρέσει τη διαδρομή που χρησιμοποιείτε, και η συνεδρία μπορεί να επιβιώσει αρκετά για να το δείτε να συμβαίνει.

Δοκιμάστε από έξω από το εργαστήριο και όχι από το LAN, και επαληθεύστε τις αρνήσεις όπως και τις άδειες. Ένα δίκτυο που πρέπει να παραμείνει μη προσβάσιμο από τη σήραγγα πρέπει να παραμείνει μη προσβάσιμο και μετά την αλλαγή σας, και αυτό είναι ξεχωριστός ισχυρισμός από τη φόρτωση της σελίδας διαχείρισης. Γράψτε και τα δύο αποτελέσματα, γιατί το δεύτερο είναι αυτό που παραλείπεται και αυτό που μετράει όταν το εργαστήριο μεγαλώνει.

Η εγγραφή που πρέπει να κρατήσετε είναι σύντομη: η διεύθυνση και η υπηρεσία διαχείρισης, η διαδρομή που χρειάζεται κάθε πλευρά, οι ταυτότητες που επιτρέπεται να φτάσουν, και η διαδρομή ανάκτησης. Αυτό αρκεί για το επόμενο άτομο να αναπαράγει τη λειτουργική κατάσταση χωρίς να την ξανασυνάγει.

Αν η σελίδα εξακολουθεί να λήγει μετά από όλα αυτά, κάντε σύλληψη στον υπερεπόπτη και ψάξτε το πακέτο πριν αλλάξετε άλλον κανόνα. Ένα πακέτο που δεν φτάνει ποτέ είναι ζήτημα δρομολόγησης ή τείχους προστασίας; ένα πακέτο που φτάνει και απορρίπτεται είναι ζήτημα υπηρεσίας ή πολιτικής; ένα πακέτο που φτάνει και απαντάται ενώ ο πελάτης περιμένει είναι ζήτημα διαδρομής επιστροφής. Η τεκμηρίωση του strongSwan για την προώθηση καλύπτει πώς μια πύλη Linux προωθεί την κίνηση της σήραγγας σε εσωτερικό κεντρικό υπολογιστή. Τρεις συλλήψεις νικούν μια ακόμη εικασία.