Zergatik uzten dio routerraren administrazioak erantzuten VPN aldaketa baten ondoren

Routerrean tunel bat probatzeko bide bat edo suebaki-arau bat aldatu duzu, eta orain administrazio-orriak ez du erantzuten duela hamar minutu ondo zihoan eramangarritik. Erreflexua VPNa erruztatzea da. Gehienetan tunela osasuntsu dago eta beste hiru gauzetako bat hautsi da: ez dago biderik routerraren beraren helbidera itzultzeko, sarrera-politika batek eskaera baztertzen du, edo web-zerbitzu batek ez du deitzen duzun helbidean entzuten. Hirurak berdin ikusten dira nabigatzailean, horregatik jendeak ordubetez berrabiarazten du tunela eta ez du ezer ikasten.

Hona hemen lehenengo hil behar duen mitoa: funtzionatzen duen tunel bat ez da berriro sartzeko bidea. Sare-konexio berri bat da, bere konfiantza-galderak dituena, eta isilka ken dezake zure administrazio-bide zaharra, inork berrikusi ez duen beste bat ireki bitartean.

Tunela ez zen inoiz administrazio-bidea izan

Birbidaltzea eta sarrera lan desberdinak dira. «Bezero batek NASera iritsi daiteke tunelaren bidez?» birbidaltze-galdera da routerretik igarotzen diren paketeei buruz. «Routerraren SSH ataka ireki dezaket?» sarrera-galdera da routerrari berari zuzendutako paketeei buruz. Birbidalitako trafikorako idatzitako baimen-arau batek ez du ezer egiten bigarren galderarako, eta hori da tunel batek trafikoa primeran eraman arren zure administrazio-saioa ukatzen jarraitzearen arrazoi ohikoena.

Aurkako akatsa interfaze-izen batean fidatzea da. Tunela parearekin zifratzen da, ez atzean duen zerbitzu bakoitzarekin, eta interfaze-etiketa bateko VPN hitzak ez du ezer esaten zein iturrik izan behar duten saioa hasteko.

Lehen maila: badago biderik routerraren beraren helbidera?

Hasi bezeroan eta galdetu kernelari nora joango den paketea. Linuxen ip route get 10.6.0.1 aukeratutako bidea, irteerako interfazea eta iturburu-helbidea inprimatzen ditu. Zure hornitzailearen norako bide lehenetsia salatzen badu, paketea ez da inoiz tunelera sartzen, eta routerreko inongo aruk ez du salbatuko.

Tunelaren aldeak galderaren bertsio propioa du. WireGuardek AllowedIPs gako kriptografikoen bideratze-taula gisa tratatzen du: mutur bakoitzean adierazten du zein iturburu-helbide erabil ditzakeen pareak eta zein helburu bidaltzen zaizkion pare horri. Bezeroaren erregistroak routerraren tunel-helbidea ez badu barne hartzen, bezeroak ez du hara biderik. Bezero horrentzako zerbitzariaren erregistroak bezeroaren tunel-helbidea estaltzen ez badu, zerbitzariak paketea baztertzen du suebaki-arau bat ere kontsultatu aurretik.

Egiaztatu lortu nahi duzun helbide zehatza politika araztu aurretik. DNS erregistro zaharkitu batek edo aldaketaren aurreko auzo-sarrera katxeatuak routerrak inoiz izan ez zuen helbide batera eramaten zaitu.

Bigarren maila: sarrera-politika, ez birbidaltze-politika

Suebakiek arauak ebaluatzen dituzte paketea iristen den interfazean. pfSense eta OPNsense-n interfaze-fitxak eta arauen ordenak erabakitzen dute suebakiaren beraren zerbitzuetarako trafikoa baimenduta dagoen; LAN bezeroak internetra ateratzen dituen arau bat ez da tunel-pareari web interfazea irekitzea uzten dion araua. firewall4 duen OpenWrt-en zona bakoitzak sarrera-politika bat darama, option input 'ACCEPT' edo 'REJECT', eta sarrera REJECT duen zonako tunel-interfazeak administrazio-konexioak ukatuko ditu, birbidaltzea baimenduta badago trafikoa oraindik birbidaltzen duen bitartean.

Ez desgaitu blokeoaren aurkako araua bide berria funtziona dezan. Arau horrek LANeko administrazio-helbidea arau txar batek blokeatu ez dezan eragozten du; LAN azpisarea babesten du, ez oraintxe sortu duzun tunel azpisarea. Gehitu arau estu bat administratzailearen iturburuarentzat eta utzi segurtasun-sarea bakean. pfSense-ren administrazio-sarbidearen dokumentazioak azaltzen du non dauden kontrol horiek.

# on the router: bind addresses and the loaded ruleset
ss -ltnp | grep -E ':(22|80|443)\b'         # Linux / OpenWrt
sockstat -4 -l | grep -E ':(22|80|443)\b'   # FreeBSD / pfSense
nft list ruleset | grep -A6 'chain input'    # firewall4
pfctl -sr | head -40                         # pf / pfSense

Hirugarren maila: entzuten du ezerk helbide horretan?

Zerbitzu bat martxan egon daiteke eta hala ere iristezina izan, helbide bakar batera lotu delako. OpenWrt-ren uhttpd-k entzute-erregistro esplizituak gordetzen ditu /etc/config/uhttpd fitxategian, adibidez list listen_http '0.0.0.0:80'; LAN helbidera soilik lotzen den konpilazio batek ez du ezer onartzen tunel-helbidean, eta entzuteko interfaze-ezarpena erakusten duten produktuek berdin jokatzen dute. Goiko entzute-komandoek zuzenean erantzuten dute hori.

Ondoren bereizi ukapena isiltasunetik. nc -vz 10.6.0.1 443 konexio ukatu bat itzultzeak esan nahi du paketea routerrera iritsi zela eta zerbait-ek arbuiatu zuela, ataka itxita edo ukapen-arau esplizitua. Denbora-mugaraino zintzilik egoteak esan nahi du paketea baztertu zela edo inoiz bideratu ez zela. Bereizketa horrek esaten dizu zein maila ikuskatu hurrengo, eta bost segundo kostatzen du.

VPN interfazea muga da, ez berreskuratze-bidea

Zifratzeak kablea babesten du; ez du ezer esaten nori dagokion administrazio-orria irekitzea. Tunela funtzionatzen hasita, eutsi tunel-interfazean dena baimentzearen bulkadari, iristeko gaitasuna konpondu nahian. Eman administratzaileei beren tunel-helbidera lotutako arau bat edo administratzaileentzako soilik den tunel bereizi bat, eta eduki erabiltzaile arruntak, NASa, kamerak eta familiako eramangarriak administrazio-ataketik urrun. Fitxategi-partekatzea behar duen pare bat ez luke egon behar routerraren saio-hasieratik arau batera.

Routerraren zereginak erantzuna aldatzen du. Tunela amaitzen duen router batek legez onar ditzake administratzaileak handik, eta tunela internet-irteera gisa soilik erabiltzen duen router batek normalean ez luke egin behar. Bi kasuetan azpisare-baimena ez da saio-hasiera, beraz, eduki kontu-autentikazioa eta garraio-segurtasuna gaituta.

Blokeo baten ondoren jendeak egiten duen konpentsazio-mugimendua okerragoa da: WAN administrazioa gaitzea edo ataka bat web interfazera birbidaltzea. Horrek eten labur bat exposure iraunkor bihurtzen du, eta saio-hasierako orria interneteko edozein eskanerren esku geratzen da orduan. Probatu ukatutako aldea ere, baimendutakoa ez ezik, administrazio-sarbidea izan behar ez duen pareak denbora-muga edo ukapena izan dezan saio-hasierako eskaera baten ordez.

Probatu konexio berri batekin ere. Egoerazko suebaki batek lehendik dauden fluxuak gordetzen ditu bere egoera-taulan, beraz, jada irekita duzun SSH saioak konexio berri guztiak blokeatzen dituen aldaketa bat biziraun dezake. Horrela blokeoa ikusezin geratzen da hurrengo berrabiarazte edo eramangarriaren hurrengo loaldira arte.

Prestatu itzulera-bidea politika ukitu aurretik

Idatzi lau gauza lehen aldaketa baino lehen: nola iritsiko zaren gailura tunela hiltzen bada, adibidez serie-kontsola, hornitzailearen kontsola edo LANeko makinaren bidez; nora esportatzen den uneko konfigurazioa; zein arau edo bide bakar aldatuko duzun; eta nola itzuliko duzun zehazki elementu hori. OpenWrt-en sysupgrade -b /tmp/backup.tar.gz komandoak konfigurazioa hartzen du, eta aldaketak uci commit arte zain geratzen dira, eta horrek desegite merkea ematen dizu garaiz ohartzen bazara. pfSense-k konfigurazio-historia gordetzen du, eta AutoConfigBackup-ek soilik laguntzen du aurretik gaituta bazegoen. Routerrak fail-closed arau-multzo bat erabiltzen badu, egiaztatu planifikatutako mantentze-bidea ez dagoela arau horrek blokeatzen duen trafikoaren barruan, eta gogoratu berrabiarazte batek arau iraunkorrak berriro aplikatzen dituela, ez dituela ezabatzen.

Aldatu muga bat saiakera bakoitzeko, eta gero probatu konexio berri batetik, irekita duzun shell-aren ordez. Proba huts egiten badu, itzuli aldaketa hori hurrengo maila ukitu aurretik. Tunelak gainean jarrai dezake denbora osoan, baina haren egoera-ikono berdeak ez du frogatzen oraindik sartu zaitezkeenik.

Egiaztapen azkarra joan aurretik:

• Iritsiko zara routerrera oraintxe aldatu duzun arauaren mende ez dagoen iturburu batetik?
• Tunel-interfazeko sarrera-politikak administratzailearen iturburua soilik uzten du?
• Administrazio-zerbitzua tunelaren gainean existitzen den helbide batera lotuta dago?
• Pare ukatu bat eta saio berri bat probatu dituzu?
• WAN administrazio-gainazala oraindik itxita dago?