Atingi la administran paĝon de la enkursigilo per VPN, ne per WAN

La administra paĝo de la enkursigilo malfermiĝas en du sekundoj el la sofo kaj finiĝas per tempolimo el hotelĉambro, dum la VPN-kliento raportas tuttempe, ke ĝi estas konektita. Vi havas vojon eksteren, ne vojon reen: la tunelo portas vian trafikon al la interreto kaj haltas tie. Por atingi aparaton ene de via propra LAN necesas sesio, kiu finiĝas ĉe io, kio havas itineron tien. Tio estas decido pri dizajno, ne agordo, kaj ĝi determinas, ĉu la cetero de la laboro entute eblas.

Facilas perdi la distingon, ĉar unu produkto povas fari ambaŭ taskojn. Komerca elira kliento kaj fora alira servilo povas paroli la saman protokolon sur la sama pordo, kaj la diferenco estas, kiu flanko posedas la adresan spacon malantaŭ la finpunkto.

Kiu flanko de la tunelo posedas la LAN

Por administrado la finpunkto devas situi ene de la reto, kiun vi volas atingi, aŭ havi rajtigitan vojon tien. Enkursigilo, kiu funkciigas sian propran VPN-servilon, taŭgas; ankaŭ malgranda ĉiam-ŝaltita gastiganto kun fiksa adreso kaj itinero al la LAN. Ela servaĉo funkciigata de tria partio ne taŭgas, ĉar ĝia finpunkto havas nek interfacon en via LAN nek regulon, kiu lasus unu aperi. Tiu estas la kontrolo, kiun oni finu antaŭ ol tuŝi ion alian.

Firmware malofte markas tiun diferencon, do legu, kion faras la funkcio, ne kiun protokolon ĝi nomas. WireGuard, OpenVPN kaj IKEv2 aperas ambaŭflanke de la merkato: unu konstruo sendas hejman trafikon eksteren, alia akceptas vian foran aparaton. Nur-klienta konstruo ne transformeblas en servilon per agordo, kiel ajn la menuo estas vortigita.

Krei la reenan itineron

WireGuard-servilo sur la enkursigilo havas interfacan adreson kiel 10.8.0.1/24 kaj peer-rikordon por la tekkomputilo. La kliento decidas, kiujn celojn ĝi sendos en la tunelon, kaj listo enhavanta nur la tunelan subreton lasas la LAN nevidebla, kiel ajn la servilo estas agordita. Ambaŭ finoj devas konsenti, kaj kutime nur unu el ili estas redaktata.

wg show wg0 allowed-ips
ip route get 192.168.1.1

La unua komando raportas, kion ĉiu peer rajtas sendi laŭ la vidpunkto de la servilo; la dua raportas, kien LAN-adreso efektive irus ĉe la kliento. LAN-celo, kiu solviĝas al la tunela interfaco, estas itinrado, kiu funkcias, kaj tiu, kiu eliras tra la fizika enirejo, neniam alvenos, kion ajn diras la fajroŝirmilo. Aldonu la LAN-prefikson al la permesita listo de la kliento, kaj la samaj du komandoj fariĝas kontrolpaŝo anstataŭ diagnozo.

La saman salton por IPsec-enirejoj priskribas la strongSwan-dokumentaro pri plusendado, kie plusendado kaj source-NAT-regulo estas tio, kio ligas tunelan klienton al interna gastiganto. La adresado malsamas; la postulo ne.

Kiu rajtas malfermi la admin-paĝon

Alira kontrolo apartenas al la enkursigilo, ne al la intenco esti singarda. Permesu nur la aŭtentikigitan tunelan identon aŭ fontintervalon, kiu bezonas la paĝon, kaj legu la propran enigan ĉenon de la enkursigilo kaj ankaŭ ĉiun plusenditan LAN-politikon. Regulo, kiu lasas la kablan LAN atingi la admin-paĝon, diras nenion pri kliento alvenanta sur la tunela interfaco. Skribu la escepton por specifa idento, poste tenu duan identon, kiu devus esti rifuzata.

La aŭskultanto estas la alia duono kaj ĝi estas nevidebla en la fajroŝirmila eligo. ss -ltnp montras la adreson, al kiu la retservilo estas ligita, kaj servo ligita nur al la LAN-adreso ne respondos sur la tunela adreso, kiel permesemaj ajn la reguloj estas. Religi ĝin aŭ aldoni adreson estas agorda ŝanĝo sur la enkursigilo, ne fajroŝirmila ŝanĝo.

Tenu aŭtentikigon kaj transportan validigon ŝaltitaj en la sama trairo. Atingebla ne estas fidata, kaj ĉiu aparato ene de tunelo ne fariĝas per tio administranto. La tunela legitimilo kaj la enkursigila konto estas apartaj privilegioj kun apartaj vivocikloj, do la ŝlosilo de perdita tekkomputilo povas esti revokita sen restarigi la pasvorton de ĉiu administranto.

Testi de ekstere, ne de la sofo

Testu el reto, kiun vi ne kontrolas. Konektiĝu tra la aprobita tunelo, malfermu freŝan administran sesion kaj ŝanĝu ion sendanĝeran, kion vi vidas spegulita sur la paĝo. De la sofo vi pruvas, ke la LAN funkcias, kio neniam estis dubinda.

Poste testu la rifuzojn kun la sama zorgo. Provu la paĝon sen la tunelo kaj konfirmu, ke ĝi malsukcesas, kaj konfirmu, ke la administra servo tute ne aŭskultas sur la WAN-adreso. Paĝo, kiu nur ne estas ligita, ne estas alira kontrolo, kaj WAN-aŭskultanto montranta ensalutan formularon ankoraŭ estas WAN-aŭskultanto. Se pasvorto estas la sola afero inter la interreto kaj la konzolo de la enkursigilo, la dizajno estas pasvorto.

Hejmaj servoj meritas rigardon dum vi estas tie. Streĉigo de administraj reguloj ofte rompas la gastan reton aŭ la solvilon, kiun uzas la familianaj aparatoj, kaj tio aperas tagojn poste kiel nerilata plendo.

Konservi vojon reen dum vi ŝanĝas aferojn

Antaŭ ol ŝanĝi itinerojn aŭ tunelajn agordojn distance, preparu sendependan vojon reen. Ekzistanta sesio povas postvivi la ŝanĝon, kiu jam blokas novajn konektojn, kaj ĝuste tiel homoj ŝlosiĝas ekstere dum ili observas sesion, kiu ankoraŭ funkcias. La elektoj estas konkretspecaj: planita restartigo al konata agordo, konzola aŭ fizika aliro, dua tunelo, kiu ne dependas de la redaktata agordo, aŭ ekstrabenda administrado, kie la aparataro tion ofertas. Elektu unu kaj pruvu ĝin antaŭ la bontenada fenestro, ne dum ĝi.

Tenu la registron mallongan kaj aktualan: kiu gastiganto finas la tunelon, kiuj identoj povas atingi la paĝon, al kiu adreso la servo ligiĝas, kaj kiel perdita aparato estas revokata. Tiu listo samtempe servas kiel restaŭra plano, ĉar ĝi diras, kie loĝas ĉiu dependeco. Mankanta reena itinero estas itinrada problemo riparinda, kaj ĝi neniam estas kialo publikigi administradon sur la WAN.