Berik de admin-side fan ’e router fia VPN, net fia de WAN

De admin-side fan ’e router iepenet fan ’e bank yn twa sekonden en rint fan in hotelkeamer ôf op tiid út, wylst de VPN-klant de hiele tiid seit dat er ferbûn is. Wat jo hawwe is in wei út, net in wei werom: de tunnel bringt jo ferkear nei it ynternet en stoppet dêr. Om in apparaat yn jo eigen LAN te berikken is in sesje nedich dy’t einiget op eat mei in rûte dernei. Dat is in ûntwerpbeslissing, net in ynstelling, en it bepaalt oft de rest fan it wurk überhaupt mooglik is.

It ferskil is maklik te ferliezen om’t ien produkt beide taken dwaan kin. In kommersjele útgongskliïnt en in remote-access-tsjinner kinne itselde protokol op deselde poarte sprekke, en it ferskil is hokker kant it adresromte efter it einpunt besit.

Hokker kant fan ’e tunnel besit it LAN

Foar behear moat it einpunt yn it netwurk sitte dat jo berikke wolle, of in autorisearre paad deryn hawwe. In router dy’t syn eigen VPN-tsjinner draait foldocht; ek in lytse altyd-oan host mei in fêst adres en in rûte nei it LAN. In útgongstsjinst fan in tredde partij foldocht net, om’t syn einpunt gjin yndering op jo LAN hat en gjin regel dy’t ien ferskine litte soe. Dat is de kontrôle dy’t jo ôfmeitsje moatte foar’t jo eat oars oanreitsje.

Firmware labelt dat ferskil selden, dus lês wat de funksje docht ynstee fan hokker protokol er neamt. WireGuard, OpenVPN en IKEv2 ferskine allegear oan beide kanten fan ’e merk: ien build stjoert húshâldferkear nei bûten, in oarenien akseptearret jo apparaat fan ôfstân. In build allinnich foar klant kin net fia konfiguraasje in tsjinner wurde, hoe’t it menu ek ferwurde is.

De weromrûte bestean litte

In WireGuard-tsjinner op ’e router hat in ynderingadres lykas 10.8.0.1/24 en in peer-ynfier foar de laptop. De klant beslút hokker bestimmingen er de tunnel yn stjoert, en in list mei allinnich it tunnelsubnet lit it LAN ûnsichtber, hoe’t de tsjinner ek konfigurearre is. Beide einen moatte it iens wurde, en meastentiids wurdt mar ien fan beide bewurke.

wg show wg0 allowed-ips
ip route get 192.168.1.1

It earste kommando meldt wat elke peer fan it eachpunt fan ’e tsjinner stjoere mei; it twadde meldt wêr’t in LAN-adres op ’e klant eins hinne gean soe. In LAN-bestimming dy’t nei de tunnel-yndering oplost is rûterjen dat wurket, en ien dy’t fia de fysike gateway fuortgiet sil nea oankomme, wat de firewall ek seit. Foegje it LAN-prefiks ta oan ’e tastiene list fan ’e klant, en deselde twa kommando’s wurde in ferifikaasjestap ynstee fan in diagnoaze.

Deselde hop foar IPsec-gateways wurdt beskrepen troch strongSwan-dokumintaasje oer trochstjoeren, wêr’t trochstjoeren en in source-NAT-regel binne wat in tunnelklant oan in ynterne host ferbynt. De adressearring ferskilt; de eask net.

Wa’t de admin-side iepenje mei

Tagongskontrôle heart op ’e router, net yn ’e bedoeling om foarsichtich te wêzen. Tastean allinnich de autentisearre tunnelidentiteit of it boarneberik dat de side nedich hat, en lês de eigen input-keten fan ’e router en ek elk trochstjoerd LAN-belied. In regel dy’t it bedrade LAN de admin-side berikke lit, seit neat oer in klant dy’t op ’e tunnel-yndering oankomt. Skriuw de útsûndering foar in spesifike identiteit, en hâld dan in twadde identiteit dy’t wegere wurde moat.

De harker is de oare helte en is ûnsichtber yn ’e firewall-útfier. ss -ltnp lit it adres sjen dêr’t de webserver oan bûn is, en in tsjinst dy’t allinnich oan it LAN-adres bûn is sil net op it tunneladres antwurdzje, hoe tastienend de regels ek binne. It opnij binen of in adres tafoegje is in konfiguraasjewizing op ’e router, net in firewallwizing.

Hâld autentikaasje en transportfalidaasje oan yn deselde trochgong. Berikber is net fertroud, en elk apparaat yn in tunnel wurdt dêrmei gjin behearder. De tunnellegitimaasje en it routerakkoart binne aparte foarrjochten mei aparte libbenssyklen, sadat de kaai fan in ferlern laptop ynlutsen wurde kin sûnder it wachtwurd fan elke behearder te resetten.

Teste fan bûten, net fan ’e bank

Teste fan in netwurk dat jo net beheare. Ferbyn fia de goedkarde tunnel, iepenje in nije admin-sesje en feroarje eat ûnskealiks dat jo op ’e side werom sjogge. Fan ’e bank bewize jo dat it LAN wurket, wat nea twifelich wie.

Teste dan de wegereftigen mei deselde soarch. Besykje de side sûnder de tunnel en befêstigje dat it mislearret, en befêstigje dat de beheardienst hielendal net op it WAN-adres harket. In side dy’t gewoan net ferbûn is, is gjin tagongskontrôle, en in WAN-harker mei in oanmeldformulier is noch altyd in WAN-harker. As in wachtwurd it iennichste is tusken it ynternet en de konsole fan ’e router, is it ûntwerp in wachtwurd.

Húshâldtsjinsten fertsjinje in eachopslach wylst jo der binne. It straffer meitsjen fan behearregels brekt faak it gastnetwurk of de resolver dy’t de famyljeapparaten brûke, en dat komt dagen letter as in net besibbe klacht boppe wetter.

In wei werom hâlde wylst jo dingen feroarje

Foar’t jo rûtes of tunnelinstellingen op ôfstân feroarje, meitsje in ûnôfhinklike wei werom klear. In besteande sesje kin de wizing oerlibje dy’t al nije ferbiningen blokkearret, en krekt sa slute minsken harsels bûten wylst se nei in sesje sjogge dy’t noch wurket. De opsjes binne konkreet: in plande werstart nei in bekende konfiguraasje, konsole- of fysike tagong, in twadde tunnel dy’t net fan ’e bewurke ynstelling ôfhinklik is, of behear bûten de bân wêr’t de hardware it biedt. Kies ien en bewize it foar it ûnderhâldsfenster, net derûnder.

Hâld de registraasje koart en aktueel: hokker host de tunnel beëiniget, hokker identiteiten de side berikke meie, oan hokker adres de tsjinst bûn is en hoe’t in ferlern apparaat ynlutsen wurdt. Dy list tsjinnet ek as werstelplan, om’t er seit wêr’t elke ôfhinklikheid wennet. In ûntbrekkende weromrûte is in rûteringsprobleem om te reparearjen, en it is nea in reden om behear op ’e WAN te publisearjen.