Iritsi routerraren admin orrira VPN bidez, ez WAN bidez

Routerraren admin orria bi segundotan irekitzen da sofatutik, eta hotel-gele batetik denbora-muga gainditzen du, VPN bezeroak konektatuta dagoela dioen bitartean. Irteerako bidea duzu, ez itzultzeko bidea: tunelak zure trafikoa internet-era eramaten du eta han gelditzen da. Zure LAN barruko gailu batera iristeko, hara doan ibilbidea duen zerbaitetan amaitzen den saio bat behar da. Diseinu-erabakia da, ez ezarpena, eta gainerako lana posible den ala ez zehazten du.

Erraza da bereizketa galtzea, produktu batek bi lanak egin ditzakeelako. Irteerako bezero komertzial batek eta urruneko sarbideko zerbitzari batek protokolo bera erabil dezakete ataka berean, eta aldea da zein aldek duen amaiera-puntuaren atzeko helbide-espazioa.

Tunelaren zein aldek duen LAN-a

Administratzeko, amaiera-puntuak iritsi nahi duzun sarearen barruan egon behar du, edo hara bideratutako bide baimendua izan behar du. Bere VPN zerbitzaria exekutatzen duen router batek baldintza betetzen du; baita helbide finkoa eta LANera bidea dituen host txiki etengabe piztuta dagoen batek ere. Hirugarren batek kudeatutako irteera-zerbitzu batek ez du betetzen, haren amaiera-puntuak ez baitu interfazerik zure LANean eta bat agertzea ahalbidetuko lukeen araurik ere. Hau da beste edozer ukitu aurretik amaitu beharreko egiaztapena.

Firmwareak gutxitan markatzen du aldea hori, beraz irakurri funtzioak zer egiten duen, eta ez zer protokolo izendatzen duen. WireGuard, OpenVPN eta IKEv2 merkatuko bi aldeetan agertzen dira: bertsio batek etxeko trafikoa kanpora bidaltzen du, beste batek zure urruneko gailua onartzen du. Bezero-soilikako bertsio bat ezin da zerbitzari bihurtu konfigurazioaren bidez, menua nola idatzita egon ere.

Itzulera-bidea sortzea

Routerreko WireGuard zerbitzari batek 10.8.0.1/24 bezalako interfaze-helbidea eta ordenagailu eramangarrirako peer-sarrera bat ditu. Bezeroak erabakitzen du zein helmuga bidaliko dituen tunelera, eta tunelaren azpisarea soilik duen zerrenda batek LANa ikusezin uzten du, zerbitzaria nola konfiguratuta egon ere. Bi muturrek ados egon behar dute, eta normalean bakarra editatzen da.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Lehen komandoak zerbitzariaren ikuspegitik peer bakoitzak zer bidal dezakeen adierazten du; bigarrenak LAN helbide bat bezeroan benetan nora joango litzatekeen adierazten du. Tunelaren interfazera ebazten den LAN helmuga bat funtzionatzen duen bideratzea da, eta ataka fisikoan zehar irteten dena ez da inoiz iritsiko, suebakiak zer esan ere. Gehitu LANaren aurrizkia bezeroaren baimendutako zerrendan, eta bi komando berak egiaztapen-urrats bihurtuko dira, diagnostiko izan beharrean.

IPsec atebideetarako jauzi bera deskribatzen du strongSwanen birbidaltze-dokumentazioak, non birbidaltzeak eta source-NAT arau batek tunel-bezero bat barneko host batera konektatzen duten. Helbideratzea desberdina da; baldintza ez.

Nork dezakeen admin orria ireki

Sarbide-kontrola routerrean dagokio, ez zuhur izateko asmoan. Baimendu admin orria behar duen tunel-nortasuna edo iturburu-barrutia soilik, eta irakurri routerraren beraren sarrera-katea eta birbidalitako LAN politikak. Kable bidezko LANari admin orrira iristen uzten dion arauak ez du ezer esaten tunelaren interfazera iristen den bezero bati buruz. Idatzi salbuespena nortasun jakin baterako, eta gero mantendu ukatu behar den bigarren nortasun bat.

Entzulea beste erdia da eta suebakiaren irteeran ikusezina da. ss -ltnp web zerbitzaria lotuta dagoen helbidea erakusten du, eta LAN helbideari soilik lotuta dagoen zerbitzu batek ez du tunelaren helbidean erantzungo, arauak nola baimengarri egon ere. Hori berriro lotzea edo helbide bat gehitzea routerreko konfigurazio-aldaketa da, ez suebakikoa.

Eduki autentifikazioa eta garraioaren egiaztapena piztuta pasaera berean. Iristea ez da fidatzea, eta tunel barruko gailu bakoitza ez da horregatik administratzaile bihurtzen. Tunelaren kredentziala eta routerraren kontua pribilegio bereiziak dira, bizi-ziklo bereiziekin, beraz galdutako ordenagailu baten gakoa baliogabetu daiteke administratzaile bakoitzaren pasahitza berrezarri gabe.

Kanpotik probatzea, sofatutik ez

Probatu kontrolatzen ez duzun sare batetik. Konektatu onartutako tunelaren bidez, ireki admin saio berri bat eta aldatu ikusten duzun zerbait kaltegabea orrian islatuta. Sofatutik LANA funtzionatzen duela frogatzen duzu, inoiz zalantzan egon ez dena.

Gero probatu ukoak arreta berarekin. Saiatu orria tunelik gabe eta egiaztatu huts egiten duela, eta egiaztatu administrazio zerbitzuak WAN helbidean ez duela entzuten. Estekarik gabe dagoen orri bat ez da sarbide-kontrola, eta saio-hasierako formularioa erakusten duen WAN entzule bat oraindik WAN entzule da. Pasahitz bat bada internetaren eta routerraren kontsolaren arteko gauza bakarra, diseinua pasahitz bat da.

Etxeko zerbitzuek begirada bat merezi dute han zauden bitartean. Kudeaketa-arauak estutzeak sarritan apurtzen ditu gonbidatuen sarea edo familiako gailuek erabiltzen duten ebazlea, eta hori egun batzuk geroago azaleratzen da erlaziorik gabeko kexa gisa.

Itzulera-bidea mantentzea gauzak aldatzen dituzun bitartean

Bideak edo tunel-ezarpenak urrunetik aldatu aurretik, prestatu itzulera-bide independente bat. Dagoen saio batek jada konexio berriak blokeatzen dituen aldaketa gaindi dezake, eta horrelaxe blokeatzen dute jendeak bere burua oraindik funtzionatzen duen saio bat ikusten duen bitartean. Aukerak zehatzak dira: berrabiarazte programatua konfigurazio ezagun batera, kontsolako edo fisiko sarbidea, editatzen ari den ezarpenaren mende ez dagoen bigarren tunel bat, edo bandaz kanpoko kudeaketa hardwareak eskaintzen duen tokian. Aukeratu bat eta froga ezazu mantentze-leihoa baino lehen, ez bitartean.

Mantendu erregistroa labur eta eguneratuta: zein host amaitzen duen tunela, zein nortasunek irits daitekeen orrira, zein helbideri lotzen zaion zerbitzua eta nola baliogabetzen den galdutako gailu bat. Zerrenda horrek berreskuratze-plana ere egiten du, menpekotasun bakoitza non bizi den esaten baitu. Falta den itzulera-bide bat konpondu beharreko bideratze-arazoa da, eta ez da inoiz WANean administrazioa argitaratzeko arrazoi.