Cén fáth a stopann riar an ródaire ag freagairt tar éis athrú VPN

D'athraigh tú bealach nó riail balla dóiteáin chun tollán a thástáil ar an ródaire, agus anois ní fhreagraíonn an leathanach riaracháin ón ríomhaire glúine a bhí ag obair go maith deich nóiméad ó shin. Is é an meon an VPN a chur ina leith. An chuid is mó den am bíonn an tollán sláintiúil agus bhris ceann de thrí rud eile: níl aon bhealach ar ais chuig seoladh an ródaire féin, tá polasaí ionchuir a chaitheann an t-iarratas amach, nó tá seirbhís ghréasáin nach n-éisteann leis an seoladh a bhfuil tú ag glaoch air. Breathnaíonn an triúr mar an gcéanna sa bhrabhsálaí, agus sin an fáth a ndéanann daoine an tollán a atosú ar feadh uaire agus nach bhfoghlaimíonn siad aon rud.

Seo an miotas is fiú a mharú ar dtús: ní bealach isteach ar ais é tollán atá ag obair. Ceangal líonra nua é a bhfuil a cheisteanna muiníne féin aige, agus is féidir leis do sheanchonsan riaracháin a bhaint go ciúin agus ceann nua á oscailt nach ndearna éinne é a athbhreithniú.

Ní raibh an tollán riamh ina chonsan riaracháin

Is dhá phost dhifriúla iad an t-atreorú agus an t-ionchur. "An féidir le cliant an NAS a shroicheadh tríd an tollán?" ceist atreoraithe é faoi phaicéid a théann tríd an ródaire. "An féidir liom port SSH an ródaire a oscailt?" ceist ionchuir é faoi phaicéid atá dírithe ar an ródaire féin. Ní dhéanann riail cheadaithe a scríobhadh do thrácht atreoraithe aon rud don dara ceist, agus sin an chúis is coitianta a ndiúltaíonn tollán a iompraíonn trácht go foirfe do sheisiún riaracháin fós.

Is é an botún contrártha muinín a chur in ainm comhéadain. Déantar tollán a chriptiú chuig an bpiara, ní chuig gach seirbhís taobh thiar de, agus ní deir an focal VPN in lipéad comhéadain aon rud faoi cé na foinsí ar cheart cead a bheith acu logáil isteach.

Ciseal a haon: an bhfuil bealach chuig seoladh an ródaire féin ann?

Tosaigh ar an gcliant agus fiafraigh den eithne cá rachaidh an phaicéid. Ar Linux priontálann ip route get 10.6.0.1 an bealach a roghnaíodh, an comhéadan amach agus an seoladh foinse. Má thuairiscíonn sé an bealach réamhshocraithe i dtreo do sholáthraí, ní théann an phaicéid isteach sa tollán riamh, agus ní féidir le haon riail ar an ródaire í a shábháil.

Tá a leagan féin den cheist ag taobh an tolláin. Caitheann WireGuard le AllowedIPs mar thábla ródaithe eochairchripte: ag gach ceann dearbhaíonn sé cé na seoltaí foinse is féidir le piara a úsáid agus cé na cinn scríbe a sheoltar chuig an bpiara sin. Mura bhfuil seoladh tolláin an ródaire san iontráil chliaint, níl aon bhealach ag an gcliant chuige. Mura gclúdaíonn iontráil an fhreastalaí don chliant sin seoladh tolláin an chliaint, caitheann an freastalaí an phaicéid amach sula gcomhairlítear aon riail balla dóiteáin.

Deimhnigh an seoladh cruinn a bhfuil súil agat a shroicheadh sula ndéanann tú dífhabhtú ar an bpolasaí. Seolann taifead DNS sean nó iontráil comharsan i dtaisce ó roimh an athrú tú chuig seoladh nach raibh ag an ródaire riamh.

Ciseal a dó: an polasaí ionchuir, ní an polasaí atreoraithe

Déanann ballaí dóiteáin riail a mheas ar an gcomhéadan a dtagann an phaicéid air. Ar pfSense agus OPNsense cinneann cluaisín an chomhéadain agus ord na riail an bhfuil trácht chuig seirbhísí an bhalla dóiteáin féin ceadaithe; ní riail í riail a ligeann cliaint LAN amach ar an idirlíon a cheadaíonn do phiara tolláin an comhéadan gréasáin a oscailt. Ar OpenWrt le firewall4 iompraíonn gach crios polasaí ionchuir, option input 'ACCEPT' nó 'REJECT', agus diúltóidh comhéadan tolláin i gcrios a bhfuil ionchur REJECT aige do naisc riaracháin agus é fós ag atreorú tráchta má cheadaítear atreorú.

Ná cuir an riail frithghlasála as feidhm chun an bealach nua a chur ag obair. Coinníonn an riail sin seoladh riaracháin LAN ó bheith glasáilte amach ag drochriail; cosnaíonn sé an foshlíonra LAN, ní foshlíonra an tolláin a chruthaigh tú díreach. Cuir riail chúng amháin leis don fhoinse riaracháin agus fág an líon sábháilteachta i bhfostú. Míníonn doiciméid pfSense maidir le rochtain riaracháin cá bhfuil na rialtáin sin.

# on the router: bind addresses and the loaded ruleset
ss -ltnp | grep -E ':(22|80|443)\b'         # Linux / OpenWrt
sockstat -4 -l | grep -E ':(22|80|443)\b'   # FreeBSD / pfSense
nft list ruleset | grep -A6 'chain input'    # firewall4
pfctl -sr | head -40                         # pf / pfSense

Ciseal a trí: an bhfuil aon rud ag éisteacht ar an seoladh sin?

Is féidir seirbhís a bheith ag rith agus a bheith doshroichte fós toisc gur cheangail sí le seoladh amháin. Coinníonn uhttpd OpenWrt iontrálacha éisteachta sainráite in /etc/config/uhttpd, mar shampla list listen_http '0.0.0.0:80'; ní ghlacann tógáil a cheanglaíonn leis an seoladh LAN amháin aon rud ar sheoladh an tolláin, agus iompraíonn táirgí a thaispeánann socrú comhéadain éisteachta iad féin mar an gcéanna. Freagraíonn na horduithe éisteachta thuas sin go díreach.

Ansin scar diúltú ó chiúnas. Ciallaíonn nc -vz 10.6.0.1 443 a thugann nasc diúltaithe ar ais gur shroich an phaicéid an ródaire agus gur dhiúltaigh rud éigin di, cibé acu port dúnta nó riail diúltaithe shainráite. Ciallaíonn crochadh go dtí an teorainn ama gur caitheadh an phaicéid amach nó nár ródaíodh riamh í. Insíonn an t-idirdhealú sin duit cé acu ciseal a scrúdófar ansin, agus cosnaíonn sé cúig shoicind.

Is teorainn é comhéadan VPN, ní bealach aisghabhála

Cosnaíonn criptiú an sreang; ní deir sé aon rud faoi cé a fhéadfaidh an leathanach riaracháin a oscailt. Nuair a bheidh an tollán ag obair, seas in aghaidh an áite chun inrochtaineacht a réiteach trí gach rud a cheadú ar chomhéadan an tolláin. Tabhair riail do riarthóirí atá ceangailte dá seoladh tolláin féin nó tollán ar leith do riarthóirí amháin, agus coinnigh gnáthúsáideoirí, an NAS, na ceamaraí agus ríomhairí glúine an teaghlaigh ón bport riaracháin. Níor cheart go mbeadh piara a bhfuil comhroinnt comhad uaidh riail amháin ó logáil isteach an ródaire.

Athraíonn ról an ródaire an freagra. Is féidir le ródaire a chríochnaíonn an tollán riarthóirí a ghlacadh uaidh go dlisteanach, agus níor cheart go ndéanfadh ródaire nach n-úsáideann an tollán ach mar bhealach amach idirlín amhlaidh de ghnáth. Sa dá chás ní hé cead an fhoshlíonra an logáil isteach, mar sin coinnigh fíordheimhniú cuntais agus slándáil iompair ar siúl.

Is measa an ghluaiseacht chúitimh a dhéanann daoine tar éis glasála: riar WAN a chumasú nó port a atreorú chuig an gcomhéadan gréasáin. Casann sé sin briseadh gairid ina nochtadh buan, agus bíonn an leathanach logála isteach inrochtana ansin do gach scanóir ar an idirlíon. Tástáil an taobh diúltaithe chomh maith leis an taobh ceadaithe, ionas go bhfaighidh piara nár cheart rochtain riaracháin a bheith aige teorainn ama nó diúltú in ionad leid logála isteach.

Tástáil le nasc úr freisin. Coinníonn balla dóiteáin stáit na sreafaí atá ann cheana ina thábla stáit, mar sin is féidir leis an seisiún SSH atá oscailte agat cheana féin maireachtáil trí athrú a chuireann cosc ar gach nasc nua. Sin mar a fhanann glasáil dofheicthe go dtí an chéad atosú eile nó an chéad chodladh eile den ríomhaire glúine.

Ullmhaigh an bealach ar ais sula dteagmhálann tú leis an bpolasaí

Scríobh ceithre rud roimh an chéad athrú: conas a shroichfidh tú an gléas má fhaigheann an tollán bás, mar shampla consól sraitheach, consól soláthraí nó meaisín ar an LAN; cá ndéantar an chumraíocht reatha a onnmhairiú; cé an riail nó an bealach amháin atá tú ar tí a athrú; agus conas a chuirfidh tú an mhír sin ar ais go beacht. Ar OpenWrt gabhann sysupgrade -b /tmp/backup.tar.gz an chumraíocht, agus fanann eagarthóireacht i bhfeidhm go dtí uci commit, rud a thugann cealú saor duit má thugann tú faoi deara in am. Coinníonn pfSense stair chumraíochta, agus ní chabhraíonn AutoConfigBackup ach amháin má bhí sé cumasaithe cheana. Má ritheann an ródaire sraith rialacha fail-closed, deimhnigh nach bhfuil an bealach cothabhála a phleanáil tú laistigh den trácht a chuireann an riail sin bac air, agus cuimhnigh go gcuireann atosú na rialacha marthanacha i bhfeidhm arís in ionad iad a ghlanadh.

Athraigh teorainn amháin in aghaidh an iarrachta, ansin tástáil ó nasc nua in ionad ón sliogán a choinníonn tú oscailte. Má theipeann ar an tástáil, cuir an t-aon athrú sin ar ais sula dteagmhálann tú leis an gcéad chiseal eile. Is féidir leis an tollán fanacht suas an t-am ar fad, ach ní cruthúnas é a dheilbhín stádais ghlas go bhfuil tú in ann dul isteach fós.

Seiceáil thapa sula n-imíonn tú:

• An féidir leat an ródaire a shroicheadh ó fhoinse nach mbraitheann ar an riail a d'eagraigh tú díreach?
• An gceadaíonn an polasaí ionchuir ar chomhéadan an tolláin foinse an riarthóra amháin?
• An bhfuil an tseirbhís riaracháin ceangailte le seoladh atá ar an tollán?
• Ar thástáil tú piara diúltaithe amháin agus seisiún úr amháin?
• An bhfuil dromchla riaracháin WAN dúnta fós?