Jõua ruuteri admin-lehele VPN-i kaudu, mitte WAN-i kaudu

Ruuteri admin-leht avaneb diivanilt kahe sekundiga ja lõpeb hotellitoas ajapiiranguga, samal ajal kui VPN-klient teatab kogu aeg, et on ühendatud. Sul on tee välja, mitte tee tagasi: tunnel viib sinu liikluse internetti ja peatub seal. Omaenda LAN-is oleva seadmeni jõudmiseks on vaja seanssi, mis lõpeb millegi juures, millel on sinna marsruut. See on disainiotsus, mitte säte, ja see määrab, kas ülejäänud töö on üldse võimalik.

Seda erinevust on kerge kaotada, sest üks toode suudab teha mõlemat tööd. Äriline väljundklient ja kaugjuurdepääsu server võivad rääkida sama protokolli samal pordil, ja erinevus on selles, kumb pool omab lõpp-punkti taga olevat aadressiruumi.

Kumb tunneli pool omab LAN-i

Haldamiseks peab lõpp-punkt asuma võrgus, kuhu soovid jõuda, või omama sinna volitatud teed. Oma VPN-serverit käitav ruuter vastab nõudele; samuti väike pidevalt sisse lülitatud host, millel on fikseeritud aadress ja marsruut LAN-i. Kolmanda osapoole hallatav väljundteenus ei vasta, sest selle lõpp-punktil pole sinu LAN-is liidest ega ühtegi reeglit, mis laseks sellisel tekkida. See on kontroll, mis tuleb lõpetada enne millegi muu puudutamist.

Püsivara märgistab seda erinevust harva, seega loe, mida funktsioon teeb, mitte millist protokolli see nimetab. WireGuard, OpenVPN ja IKEv2 esinevad kõik turu mõlemal poolel: üks koost näeb koduse liikluse väljapoole, teine võtab vastu sinu kaugseadme. Ainult kliendi koostist ei saa konfiguratsiooniga serveriks muuta, kuidas iganes menüü on sõnastatud.

Tagasimarsruudi loomine

Ruuteril oleval WireGuard-serveril on liidese aadress nagu 10.8.0.1/24 ja sülearvuti jaoks peer-kirje. Klient otsustab, milliseid sihtkohti tunnelisse saata, ja ainult tunneli alamvõrku sisaldav nimekiri jätab LAN-i nähtamatuks, ükskõik kuidas server on konfigureeritud. Mõlemad otsad peavad nõustuma ja tavaliselt muudetakse ainult ühte.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Esimene käsk teatab, mida iga peer tohib serveri vaatepunktist saata; teine teatab, kuhu LAN-i aadress kliendis tegelikult läheks. LAN-i sihtkoht, mis laheneb tunneli liideseks, on töötav marsruutimine, ja see, mis väljub füüsilise lüüsi kaudu, ei jõua kunagi kohale, ükskõik mida tulemüür ütleb. Lisa LAN-i prefiks kliendi lubatud loendisse ja samad kaks käsku muutuvad diagnoosist kontrollisammuks.

Sama hüpet IPsec-lüüside jaoks kirjeldab strongSwan edasisaatmise dokumentatsioon, kus edasisaatmine ja source-NAT reegel ühendavad tunnelikliendi sisemise hostiga. Adresseerimine erineb; nõue mitte.

Kes tohib admin-lehte avada

Juurdepääsukontroll kuulub ruuterile, mitte ettevaatlikkuse kavatsusele. Lubage ainult autenditud tunneli identiteeti või lähtevahemikku, mis lehte vajab, ja lugege ruuteri enda sisendketti ning kõiki edastatud LAN-i poliitikaid. Reegel, mis laseb juhtmega LAN-il admin-lehele jõuda, ei ütle midagi kliendi kohta, kes saabub tunneli liidesele. Kirjutage erand konkreetse identiteedi jaoks ja hoidke siis teist identiteeti, mida peaks tagasi lükkama.

Kuulaja on teine pool ja see on tulemüüri väljundis nähtamatu. ss -ltnp näitab aadressi, millega veebiserver on seotud, ja ainult LAN-i aadressiga seotud teenus ei vasta tunneli aadressil, ükskõik kui lubavad reeglid ka poleks. Selle ümbersidumine või aadressi lisamine on ruuteri konfiguratsiooni muudatus, mitte tulemüüri muudatus.

Hoidke autentimine ja transpordi valideerimine samas läbimises sisse lülitatud. Kättesaadav ei ole usaldusväärne, ja iga seade tunnelis ei muutu sellega administraatoriks. Tunnuse volitus ja ruuteri konto on eraldi õigused eraldi elutsüklitega, nii et kadunud sülearvuti võtme saab tühistada ilma iga administraatori parooli lähtestamata.

Testimine väljast, mitte diivanilt

Testi võrgust, mida sa ei kontrolli. Ühendu heakskiidetud tunneli kaudu, ava uus admin-seanss ja muuda midagi kahjutut, mida näed lehel peegeldumas. Diivanilt tõestad, et LAN töötab, mida pole kunagi kahtluse alla seatud.

Seejärel testi keeldumisi sama hoolega. Proovi lehte ilma tunnelita ja kinnita, et see ebaõnnestub, ning kinnita, et haldusteenus ei kuula üldse WAN-i aadressil. Leht, mis on lihtsalt linkimata, ei ole juurdepääsukontroll, ja sisselogimisvormi näitav WAN-i kuulaja on ikka WAN-i kuulaja. Kui parool on ainus asi interneti ja ruuteri konsooli vahel, on disain parool.

Koduseid teenuseid tasub pilguga vaadata, kui juba kohal oled. Haldusreeglite karmistamine lõhub sageli külalisvõrgu või pereseadmete kasutatava resolveri, ja see tuleb välja päevi hiljem ebaolulise kaebusena.

Tagasitee hoidmine muudatuste tegemise ajal

Enne marsruutide või tunneli sätete kaugmuutmist valmistage ette sõltumatu tagasitee. Olemasolev seanss võib üle elada muudatuse, mis juba blokeerib uusi ühendusi, ja täpselt nii lukustavad inimesed end välja, jälgides seanssi, mis veel töötab. Valikud on konkreetsed: plaaniline taaskäivitus teadaolevasse konfiguratsiooni, konsooli- või füüsiline juurdepääs, teine tunnel, mis ei sõltu muudetavast sättest, või välisriba haldus, kui riistvara seda pakub. Valige üks ja tõestage see enne hooldusakent, mitte selle ajal.

Hoidke kirje lühike ja ajakohane: milline host tunnelit lõpetab, millised identiteedid lehele jõuavad, millise aadressiga teenus seotud on ja kuidas kadunud seade tühistatakse. See nimekiri toimib ka taastamisplaanina, sest ütleb, kus iga sõltuvus asub. Puuduv tagasimarsruut on parandamist vajav marsruutimisprobleem ja see pole kunagi põhjus avaldada haldust WAN-is.