دسترسی به صفحه مدیریت روتر از طریق VPN، نه WAN

صفحه مدیریت روتر از روی کاناپه در دو ثانیه باز می‌شود و از اتاق هتل به پایان مهلت می‌رسد، در حالی که کلاینت VPN در تمام مدت می‌گوید وصل است. آنچه دارید راه خروج است، نه راه بازگشت: تونل ترافیک شما را به اینترنت می‌برد و همان‌جا متوقف می‌شود. برای رسیدن به دستگاهی درون LAN خودتان به نشستی نیاز دارید که روی چیزی با مسیر به آن پایان یابد. این یک تصمیم طراحی است نه یک تنظیم، و تعیین می‌کند که آیا بقیه کار اصلاً ممکن است.

از دست دادن این تمایز آسان است، زیرا یک محصول می‌تواند هر دو کار را انجام دهد. کلاینت خروج تجاری و سرور دسترسی از راه دور می‌توانند یک پروتکل را روی یک پورت صحبت کنند، و تفاوت در این است که کدام طرف مالک فضای آدرس پشت نقطه پایانی است.

کدام سمت تونل مالک LAN است

برای مدیریت، نقطه پایانی باید درون شبکه‌ای باشد که می‌خواهید به آن برسید، یا مسیری مجاز به آن داشته باشد. روتری که سرور VPN خود را اجرا می‌کند واجد شرط است؛ همچنین میزبان کوچک همیشه‌روشن با آدرس ثابت و مسیر به LAN. سرویس خروجی که شخص ثالث اداره می‌کند واجد شرط نیست، زیرا نقطه پایانی آن هیچ رابطی در LAN شما ندارد و هیچ قاعده‌ای که اجازه ظهور یکی را بدهد. این بررسی‌ای است که باید پیش از دست زدن به هر چیز دیگری تمام شود.

فرم‌افزار به‌ندرت این تفاوت را برچسب می‌زند، پس بخوانید که کارکرد چه می‌کند، نه اینکه چه پروتکلی را نام می‌برد. WireGuard، OpenVPN و IKEv2 همه در هر دو سمت بازار دیده می‌شوند: یک بیلد ترافیک خانه را به بیرون می‌فرستد، دیگری دستگاه دور شما را می‌پذیرد. بیلد فقط-کلاینت را نمی‌توان با پیکربندی به سرور تبدیل کرد، هر طور که منو نوشته شده باشد.

ساختن مسیر بازگشت

سرور WireGuard روی روتر آدرس رابطی مانند 10.8.0.1/24 و یک ورودی همتا برای لپ‌تاپ دارد. کلاینت تعیین می‌کند کدام مقصدها را به تونل بفرستد، و فهرستی که فقط زیرشبکه تونل را دارد، LAN را نامرئی می‌گذارد، هر طور که سرور پیکربندی شده باشد. هر دو طرف باید توافق کنند، و معمولاً فقط یکی از آن‌ها ویرایش می‌شود.

wg show wg0 allowed-ips
ip route get 192.168.1.1

فرمان اول گزارش می‌دهد که از دید سرور هر همتا مجاز به فرستادن چه چیزی است؛ دومی گزارش می‌دهد که یک آدرس LAN روی کلاینت واقعاً کجا می‌رود. مقصد LAN که به رابط تونل تفکیک می‌شود مسیریابی کارآمد است، و مقصدی که از دروازه فیزیکی خارج می‌شود هرگز نمی‌رسد، هر چه فایروال بگوید. پیشوند LAN را به فهرست مجاز کلاینت اضافه کنید و همان دو فرمان به جای تشخیص، به مرحله تأیید تبدیل می‌شوند.

همان پرش را برای دروازه‌های IPsec توصیف می‌کند مستندات ارسال strongSwan، جایی که ارسال و یک قاعده source-NAT کلاینت تونل را به میزبان داخلی متصل می‌کنند. آدرس‌دهی متفاوت است؛ الزام نه.

چه کسی می‌تواند صفحه مدیریت را باز کند

کنترل دسترسی به روتر تعلق دارد، نه به نیت محتاط بودن. فقط هویت تأییدشده تونل یا محدوده مبدأیی را که به صفحه نیاز دارد مجاز کنید، و زنجیره ورودی خود روتر و همچنین هر سیاست LAN ارسال‌شده را بخوانید. قاعده‌ای که به LAN سیمی اجازه رسیدن به صفحه مدیریت را می‌دهد، درباره کلاینتی که روی رابط تونل می‌آید چیزی نمی‌گوید. استثنا را برای هویت مشخصی بنویسید، سپس هویت دومی را نگه دارید که باید رد شود.

شنونده نیمه دیگر است و در خروجی فایروال نامرئی است. ss -ltnp آدرسی را نشان می‌دهد که وب‌سرور به آن بسته شده است، و سرویسی که فقط به آدرس LAN بسته شده باشد روی آدرس تونل پاسخ نمی‌دهد، هر چقدر هم قواعد سهل‌گیر باشند. دوباره بستن آن یا افزودن آدرس، تغییری در پیکربندی روتر است، نه تغییری در فایروال.

احراز هویت و اعتبارسنجی انتقال را در همان گذر روشن نگه دارید. دسترس‌پذیری اعتماد نیست، و هر دستگاهی درون تونل به این ترتیب مدیر نمی‌شود. اعتبارنامه تونل و حساب روتر دو امتیاز جدا با چرخه‌های زندگی جدا هستند، بنابراین کلید یک لپ‌تاپ گم‌شده را می‌توان بدون بازنشانی گذرواژه هر مدیر باطل کرد.

آزمایش از بیرون، نه از کاناپه

از شبکه‌ای آزمایش کنید که کنترلش نمی‌کنید. از طریق تونل تأییدشده وصل شوید، یک نشست مدیریت تازه باز کنید و چیزی بی‌ضرر را تغییر دهید که بازتابش را در صفحه می‌بینید. از کاناپه ثابت می‌کنید که LAN کار می‌کند، چیزی که هرگز مورد تردید نبود.

سپس ردها را با همان دقت آزمایش کنید. صفحه را بدون تونل امتحان کنید و تأیید کنید که شکست می‌خورد، و تأیید کنید که سرویس مدیریت اصلاً روی آدرس WAN گوش نمی‌دهد. صفحه‌ای که فقط پیوند نشده کنترل دسترسی نیست، و شنونده‌ای روی WAN که فرم ورود نشان می‌دهد هنوز شنونده WAN است. اگر گذرواژه تنها چیز میان اینترنت و کنسول روتر باشد، طراحی یک گذرواژه است.

سرویس‌های خانه ارزش یک نگاه را دارند وقتی آنجا هستید. سخت‌گیری قواعد مدیریت اغلب شبکه مهمان یا حل‌کننده‌ای را که دستگاه‌های خانواده استفاده می‌کنند خراب می‌کند، و این روزها بعد به‌صورت شکایتی بی‌ربط ظاهر می‌شود.

نگه داشتن راه بازگشت هنگام تغییر دادن چیزها

پیش از تغییر مسیرها یا تنظیمات تونل از راه دور، یک راه بازگشت مستقل آماده کنید. نشست موجود ممکن است از تغییری جان سالم به در ببرد که همین حالا اتصال‌های جدید را مسدود می‌کند، و دقیقاً همین‌گونه مردم خود را بیرون قفل می‌کنند در حالی که نشستی را تماشا می‌کنند که هنوز کار می‌کند. گزینه‌ها مشخص‌اند: راه‌اندازی مجدد زمان‌بندی‌شده به پیکربندی معلوم، دسترسی کنسول یا فیزیکی، تونل دومی که به تنظیم در حال ویرایش وابسته نیست، یا مدیریت خارج از باند جایی که سخت‌افزار آن را ارائه می‌دهد. یکی را انتخاب کنید و پیش از پنجره نگهداری، نه در حین آن، اثباتش کنید.

ثبت را کوتاه و به‌روز نگه دارید: کدام میزبان تونل را پایان می‌دهد، کدام هویت‌ها به صفحه می‌رسند، سرویس به کدام آدرس بسته می‌شود و دستگاه گم‌شده چگونه باطل می‌شود. این فهرست به‌عنوان برنامه بازیابی هم عمل می‌کند، زیرا می‌گوید هر وابستگی کجا زندگی می‌کند. مسیر بازگشت غایب یک مشکل مسیریابی برای تعمیر است و هرگز دلیلی برای انتشار مدیریت روی WAN نیست.