Πρόσβαση στη σελίδα διαχείρισης του router μέσω VPN, όχι μέσω WAN

Η σελίδα διαχείρισης του router ανοίγει σε δύο δευτερόλεπτα από τον καναπέ και λήγει από ένα δωμάτιο ξενοδοχείου, ενώ ο πελάτης VPN δηλώνει συνδεδεμένος σε όλη τη διάρκεια. Αυτό που έχετε είναι δρόμος εξόδου, όχι δρόμος επιστροφής: το tunnel μεταφέρει την κίνησή σας στο διαδίκτυο και σταματά εκεί. Για να φτάσετε μια συσκευή μέσα στο δικό σας LAN χρειάζεται μια συνεδρία που τερματίζει σε κάτι με διαδρομή προς αυτό. Αυτό είναι απόφαση σχεδιασμού, όχι ρύθμιση, και καθορίζει αν η υπόλοιπη εργασία είναι καθόλου εφικτή.

Η διάκριση χάνεται εύκολα γιατί ένα προϊόν μπορεί να κάνει και τις δύο δουλειές. Ένας εμπορικός πελάτης εξόδου και ένας διακομιστής απομακρυσμένης πρόσβασης μπορούν να μιλούν το ίδιο πρωτόκολλο στην ίδια θύρα, και η διαφορά είναι ποια πλευρά κατέχει τον χώρο διευθύνσεων πίσω από το τελικό σημείο.

Ποια πλευρά του tunnel κατέχει το LAN

Για τη διαχείριση το τελικό σημείο πρέπει να βρίσκεται μέσα στο δίκτυο που θέλετε να φτάσετε ή να έχει εξουσιοδοτημένη διαδρομή προς αυτό. Ένας router που τρέχει τον δικό του διακομιστή VPN πληροί την προϋπόθεση· το ίδιο και ένας μικρός μόνιμα ενεργός host με σταθερή διεύθυνση και διαδρομή προς το LAN. Μια υπηρεσία εξόδου που διαχειρίζεται τρίτος δεν την πληροί, γιατί το τελικό της σημείο δεν έχει διεπαφή στο LAN σας ούτε κανόνα που θα επέτρεπε να εμφανιστεί μία. Αυτός είναι ο έλεγχος που πρέπει να ολοκληρωθεί πριν αγγίξετε οτιδήποτε άλλο.

Το firmware σπάνια επισημαίνει αυτή τη διαφορά, οπότε διαβάστε τι κάνει η λειτουργία και όχι ποιο πρωτόκολλο ονομάζει. WireGuard, OpenVPN και IKEv2 εμφανίζονται και στις δύο πλευρές της αγοράς: μια έκδοση στέλνει την κίνηση του νοικοκυριού προς τα έξω, μια άλλη δέχεται την απομακρυσμένη συσκευή σας. Μια έκδοση μόνο για πελάτη δεν μπορεί να γίνει διακομιστής μέσω ρυθμίσεων, όπως κι αν διατυπώνεται το μενού.

Να υπάρξει η διαδρομή επιστροφής

Ένας διακομιστής WireGuard στον router έχει διεύθυνση διεπαφής όπως 10.8.0.1/24 και μια καταχώριση peer για το laptop. Ο πελάτης αποφασίζει ποιους προορισμούς θα στείλει στο tunnel, και μια λίστα που περιέχει μόνο το υποδίκτυο του tunnel αφήνει το LAN αόρατο, όπως κι αν είναι ρυθμισμένος ο διακομιστής. Και τα δύο άκρα πρέπει να συμφωνήσουν, και συνήθως επεξεργάζεται μόνο το ένα.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Η πρώτη εντολή αναφέρει τι επιτρέπεται να στέλνει κάθε peer από την οπτική του διακομιστή· η δεύτερη αναφέρει πού θα πήγαινε πραγματικά μια διεύθυνση LAN στον πελάτη. Ένας προορισμός LAN που επιλύεται στη διεπαφή του tunnel είναι δρομολόγηση που λειτουργεί, και ένας που βγαίνει από τη φυσική πύλη δεν θα φτάσει ποτέ, ό,τι κι αν λέει το firewall. Προσθέστε το πρόθεμα του LAN στη λίστα επιτρεπόμενων του πελάτη και οι ίδιες δύο εντολές γίνονται βήμα επαλήθευσης αντί για διάγνωση.

Το ίδιο άλμα για πύλες IPsec περιγράφει η τεκμηρίωση προώθησης του strongSwan, όπου η προώθηση και ένας κανόνας source-NAT συνδέουν έναν πελάτη tunnel με έναν εσωτερικό host. Η διευθυνσιοδότηση διαφέρει· η απαίτηση όχι.

Ποιος μπορεί να ανοίξει τη σελίδα διαχείρισης

Ο έλεγχος πρόσβασης ανήκει στον router, όχι στην πρόθεση να είμαστε προσεκτικοί. Επιτρέψτε μόνο την πιστοποιημένη ταυτότητα του tunnel ή το εύρος πηγών που χρειάζεται τη σελίδα, και διαβάστε την δική του αλυσίδα εισόδου του router καθώς και κάθε πολιτική LAN που προωθείται. Ένας κανόνας που επιτρέπει στο ενσύρματο LAN να φτάσει τη σελίδα διαχείρισης δεν λέει τίποτα για έναν πελάτη που φτάνει στη διεπαφή του tunnel. Γράψτε την εξαίρεση για συγκεκριμένη ταυτότητα και μετά κρατήστε μια δεύτερη ταυτότητα που πρέπει να απορρίπτεται.

Ο ακροατής είναι το άλλο μισό και είναι αόρατος στην έξοδο του firewall. ss -ltnp δείχνει τη διεύθυνση στην οποία είναι δεσμευμένος ο διακομιστής web, και μια υπηρεσία δεσμευμένη μόνο στη διεύθυνση LAN δεν θα απαντήσει στη διεύθυνση του tunnel, όσο επιτρεπτικοί κι αν είναι οι κανόνες. Η εκ νέου δέσμευση ή η προσθήκη διεύθυνσης είναι αλλαγή ρυθμίσεων στον router, όχι αλλαγή firewall.

Κρατήστε την πιστοποίηση και την επικύρωση μεταφοράς ενεργές στο ίδιο πέρασμα. Το προσβάσιμο δεν είναι αξιόπιστο, και κάθε συσκευή μέσα σε ένα tunnel δεν γίνεται έτσι διαχειριστής. Το διαπιστευτήριο του tunnel και ο λογαριασμός του router είναι ξεχωριστά προνόμια με ξεχωριστούς κύκλους ζωής, ώστε το κλειδί ενός χαμένου laptop να ανακαλείται χωρίς επαναφορά του κωδικού κάθε διαχειριστή.

Δοκιμή από έξω, όχι από τον καναπέ

Δοκιμάστε από δίκτυο που δεν ελέγχετε. Συνδεθείτε μέσω του εγκεκριμένου tunnel, ανοίξτε νέα συνεδρία διαχείρισης και αλλάξτε κάτι ακίνδυνο που βλέπετε να αντανακλάται στη σελίδα. Από τον καναπέ αποδεικνύετε ότι το LAN λειτουργεί, κάτι που ποτέ δεν αμφισβητήθηκε.

Μετά δοκιμάστε τις απορρίψεις με την ίδια φροντίδα. Δοκιμάστε τη σελίδα χωρίς το tunnel και επιβεβαιώστε ότι αποτυγχάνει, και επιβεβαιώστε ότι η υπηρεσία διαχείρισης δεν ακούει καθόλου στη διεύθυνση WAN. Μια σελίδα που απλώς δεν είναι συνδεδεμένη δεν είναι έλεγχος πρόσβασης, και ένας ακροατής στο WAN που δείχνει φόρμα σύνδεσης παραμένει ακροατής στο WAN. Αν ένας κωδικός είναι το μόνο πράγμα ανάμεσα στο διαδίκτυο και στην κονσόλα του router, το σχέδιο είναι ένας κωδικός.

Οι υπηρεσίες του σπιτιού αξίζουν μια ματιά όσο είστε εκεί. Το αυστηρότερο κανόνων διαχείρισης συχνά χαλάει το δίκτυο επισκεπτών ή τον resolver που χρησιμοποιούν οι οικογενειακές συσκευές, και αυτό εμφανίζεται μέρες αργότερα ως άσχετο παράπονο.

Να κρατάτε δρόμο επιστροφής όσο αλλάζετε πράγματα

Πριν αλλάξετε διαδρομές ή ρυθμίσεις tunnel απομακρυσμένα, προετοιμάστε έναν ανεξάρτητο δρόμο επιστροφής. Μια υπάρχουσα συνεδρία μπορεί να επιβιώσει από την αλλαγή που ήδη μπλοκάρει νέες συνδέσεις, και έτσι ακριβώς κλειδώνονται οι άνθρωποι έξω ενώ παρακολουθούν μια συνεδρία που ακόμη λειτουργεί. Οι επιλογές είναι συγκεκριμένες: προγραμματισμένη επανεκκίνηση σε γνωστή διαμόρφωση, πρόσβαση από κονσόλα ή φυσική, δεύτερο tunnel που δεν εξαρτάται από τη ρύθμιση που επεξεργάζεστε, ή διαχείριση εκτός ζώνης όπου το υλικό την προσφέρει. Διαλέξτε μία και αποδείξτε την πριν από το παράθυρο συντήρησης, όχι κατά τη διάρκειά του.

Κρατήστε το αρχείο σύντομο και επίκαιρο: ποιος host τερματίζει το tunnel, ποιες ταυτότητες φτάνουν τη σελίδα, σε ποια διεύθυνση δεσμεύεται η υπηρεσία και πώς ανακαλείται μια χαμένη συσκευή. Αυτή η λίστα λειτουργεί και ως σχέδιο ανάκτησης, γιατί λέει πού ζει κάθε εξάρτηση. Μια απούσα διαδρομή επιστροφής είναι πρόβλημα δρομολόγησης προς διόρθωση και ποτέ λόγος να δημοσιεύσετε τη διαχείριση στο WAN.