Yhteys reitittimen hallintasivulle VPN:n kautta, ei WAN:n kautta

Reitittimen hallintasivu avautuu sohvalta kahdessa sekunnissa ja vanhenee hotellihuoneesta, kun VPN-asiakas ilmoittaa koko ajan olevansa yhteydessä. Sinulla on reitti ulos, ei reittiä takaisin: tunneli kuljettaa liikenteesi internetiin ja pysähtyy siihen. Omaan LAN-verkkoosi kuuluvan laitteen tavoittaminen vaatii istunnon, joka päättyy johonkin, jolla on sinne reitti. Se on suunnittelupäätös, ei asetus, ja se ratkaisee, onko muu työ ylipäätään mahdollista.

Ero on helppo menettää, koska yksi tuote voi tehdä molemmat työt. Kaupallinen ulostuloasiakas ja etäkäyttöpalvelin voivat puhua samaa protokollaa samassa portissa, ja ero on siinä, kumpi puoli omistaa päätepisteen takaisen osoiteavaruuden.

Kumpi tunnelin puoli omistaa LAN-verkon

Hallintaa varten päätepisteen on oltava sen verkon sisällä, johon haluat päästä, tai sillä on oltava valtuutettu reitti sinne. Reititin, joka ajaa omaa VPN-palvelinta, kelpaa; samoin pieni aina päällä oleva isäntä, jolla on kiinteä osoite ja reitti LAN-verkkoon. Kolmannen osapuolen ylläpitämä ulostulopalvelu ei kelpaa, koska sen päätepisteellä ei ole liitäntää LAN-verkossasi eikä sääntöä, joka sallisi sellaisen ilmestyä. Tämä on tarkistus, joka on saatava valmiiksi ennen minkään muun koskemista.

Laiteohjelmisto harvoin merkitsee tätä eroa, joten lue, mitä ominaisuus tekee, älä sitä, minkä protokollan se nimeää. WireGuard, OpenVPN ja IKEv2 esiintyvät kaikki markkinan molemmilla puolilla: yksi koontiversio lähettää kotitalouden liikennettä ulospäin, toinen vastaanottaa etälaitteesi. Pelkkä asiakasversio ei muutu palvelimeksi asetuksilla, miten valikko tahansa muotoillaan.

Paluureitin luominen

Reitittimellä olevalla WireGuard-palvelimella on liitäntäosoite kuten 10.8.0.1/24 ja vertaismerkintä kannettavaa varten. Asiakas päättää, mitkä kohteet se lähettää tunneliin, ja vain tunnelin aliverkon sisältävä lista jättää LAN-verkon näkymättömäksi, miten palvelin tahansa on määritetty. Molempien päiden on sovittava, ja yleensä vain toista niistä muokataan.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Ensimmäinen komento kertoo, mitä kukin vertais saa lähettää palvelimen näkökulmasta; toinen kertoo, minne LAN-osoite asiakkaassa todella menisi. LAN-kohde, joka ratkeaa tunnelin liitäntään, on toimivaa reititystä, ja fyysisen yhdyskäytävän kautta lähtevä ei koskaan saavu perille, mitä palomuuri tahansa sanoo. Lisää LAN-etuliite asiakkaan sallittuun listaan, ja samoista kahdesta komennosta tulee diagnoosin sijaan varmistusvaihe.

Saman hypyn IPsec-yhdyskäytäville kuvaa strongSwanin edelleenlähetysohjeisto, jossa edelleenlähetys ja source-NAT-sääntö yhdistävät tunneliasiakkaan sisäiseen isäntään. Osoitteistus eroaa; vaatimus ei.

Kuka saa avata hallintasivun

Käyttöoikeuksien valvonta kuuluu reitittimelle, ei aikomukselle olla varovainen. Salli vain todennettu tunnelin identiteetti tai lähdealue, joka sivua tarvitsee, ja lue reitittimen oma syöteketju sekä kaikki edelleenlähetetty LAN-käytäntö. Sääntö, joka sallii kaapeloidun LAN-verkon päästä hallintasivulle, ei kerro mitään tunnelin liitännälle saapuvasta asiakkaasta. Kirjoita poikkeus tietylle identiteetille ja pidä sitten toinen identiteetti, joka pitäisi hylätä.

Kuuntelija on toinen puoli, ja se on näkymätön palomuurin tulosteessa. ss -ltnp näyttää osoitteen, johon verkkopalvelin on sidottu, ja vain LAN-osoitteeseen sidottu palvelu ei vastaa tunnelin osoitteessa, miten sallivia säännöt tahansa ovat. Sen uudelleensidonta tai osoitteen lisääminen on reitittimen asetusmuutos, ei palomuurin muutos.

Pidä todennus ja siirron validointi päällä samassa kierrossa. Tavoitettavuus ei ole luottamusta, eikä jokaisesta tunnelin sisällä olevasta laitteesta tule siten ylläpitäjää. Tunnelin tunniste ja reitittimen tili ovat erillisiä oikeuksia erillisillä elinkaarilla, joten kadonneen kannettavan avain voidaan peruuttaa nollaamatta jokaisen ylläpitäjän salasanaa.

Testaus ulkoa, ei sohvalta

Testaa verkosta, jota et hallitse. Yhdistä hyväksytyn tunnelin kautta, avaa tuore hallintasessio ja muuta jotain harmitonta, jonka näet heijastuvan sivulla. Sohvalta todistat, että LAN toimii, mitä ei koskaan epäilty.

Testaa sitten hylkäykset samalla huolella. Yritä sivua ilman tunnelia ja varmista, että se epäonnistuu, ja varmista, ettei hallintapalvelu kuuntele lainkaan WAN-osoitteessa. Sivu, joka on vain linkittämätön, ei ole käyttöoikeuksien valvontaa, ja kirjautumislomakkeen näyttävä WAN-kuuntelija on edelleen WAN-kuuntelija. Jos salasana on ainoa asia internetin ja reitittimen konsolin välissä, suunnittelu on salasana.

Kotitalouden palvelut ansaitsevat vilkaisun, kun olet paikalla. Hallintasääntöjen kiristäminen rikkoo usein vierasverkon tai perheen laitteiden käyttämän nimipalvelimen, ja se nousee esiin päiviä myöhemmin asiattomana valituksena.

Paluureitin säilyttäminen muutosten aikana

Ennen kuin muutat reittejä tai tunnelin asetuksia etänä, valmistele riippumaton paluureitti. Olemassa oleva istunto voi selvitä muutoksesta, joka jo estää uudet yhteydet, ja juuri näin ihmiset lukitsevat itsensä ulos katsellessaan istuntoa, joka vielä toimii. Vaihtoehdot ovat konkreettisia: ajastettu uudelleenkäynnistys tunnettuun kokoonpanoon, konsoli- tai fyysinen pääsy, toinen tunneli, joka ei riipu muokattavasta asetuksesta, tai kaistanulkoinen hallinta, kun laitteisto tarjoaa sen. Valitse yksi ja todista se ennen huoltokatkoa, ei sen aikana.

Pidä kirjaus lyhyenä ja ajan tasalla: mikä isäntä päättää tunnelin, mitkä identiteetit pääsevät sivulle, mihin osoitteeseen palvelu sitoutuu ja miten kadonnut laite peruutetaan. Luettelo toimii myös palautussuunnitelmana, koska se kertoo, missä kukin riippuvuus asuu. Puuttuva paluureitti on korjattava reititysongelma, eikä se ole koskaan syy julkaista hallintaa WAN-verkossa.