राउटर के एडमिन पेज तक WAN से नहीं, VPN से पहुँचें

राउटर का एडमिन पेज सोफ़े से दो सेकंड में खुलता है और होटल के कमरे से समय-सीमा पार कर जाता है, जबकि VPN क्लाइंट पूरे समय जुड़ा हुआ बताता है। आपके पास बाहर जाने का रास्ता है, वापस आने का नहीं: टनल आपका ट्रैफ़िक इंटरनेट तक ले जाता है और वहीं रुक जाता है। अपने ही LAN के भीतर किसी डिवाइस तक पहुँचने के लिए ऐसा सत्र चाहिए जो ऐसी किसी चीज़ पर समाप्त हो जिसके पास वहाँ का रास्ता हो। यह डिज़ाइन का निर्णय है, कोई सेटिंग नहीं, और यह तय करता है कि बाकी काम संभव है या नहीं।

इस अंतर को खोना आसान है क्योंकि एक ही उत्पाद दोनों काम कर सकता है। कोई वाणिज्यिक एग्ज़िट क्लाइंट और कोई रिमोट-एक्सेस सर्वर एक ही पोर्ट पर एक ही प्रोटोकॉल बोल सकते हैं, और अंतर यह है कि एंडपॉइंट के पीछे का एड्रेस स्पेस किस पक्ष के पास है।

टनल का कौन-सा पक्ष LAN का मालिक है

प्रशासन के लिए एंडपॉइंट को उस नेटवर्क के भीतर होना चाहिए जहाँ आप पहुँचना चाहते हैं, या उसमें अधिकृत रास्ता होना चाहिए। अपना VPN सर्वर चलाने वाला राउटर इस शर्त को पूरा करता है; स्थिर एड्रेस और LAN तक रास्ते वाला छोटा, हमेशा चालू होस्ट भी। किसी तीसरे पक्ष द्वारा संचालित एग्ज़िट सेवा इसे पूरा नहीं करती, क्योंकि उसके एंडपॉइंट का आपके LAN पर कोई इंटरफ़ेस नहीं है और ऐसा कोई नियम नहीं जो किसी को दिखने दे। बाकी कुछ भी छूने से पहले यही जाँच पूरी करनी है।

फ़र्मवेयर इस अंतर को शायद ही लेबल करता है, इसलिए पढ़ें कि सुविधा क्या करती है, न कि वह किस प्रोटोकॉल का नाम लेती है। WireGuard, OpenVPN और IKEv2 सभी बाज़ार के दोनों ओर दिखते हैं: एक बिल्ड घरेलू ट्रैफ़िक बाहर भेजता है, दूसरा आपका दूरस्थ डिवाइस स्वीकार करता है। केवल-क्लाइंट बिल्ड को कॉन्फ़िगरेशन से सर्वर नहीं बनाया जा सकता, मेन्यू कैसे भी लिखा हो।

वापसी मार्ग बनाना

राउटर पर WireGuard सर्वर का इंटरफ़ेस एड्रेस 10.8.0.1/24 जैसा और लैपटॉप के लिए एक पीयर प्रविष्टि होती है। क्लाइंट तय करता है कि कौन-से गंतव्य टनल में भेजे जाएँ, और केवल टनल सबनेट वाली सूची LAN को अदृश्य छोड़ देती है, सर्वर जैसे भी कॉन्फ़िगर हो। दोनों सिरों को सहमत होना पड़ता है, और आमतौर पर उनमें से केवल एक ही संपादित किया जाता है।

wg show wg0 allowed-ips
ip route get 192.168.1.1

पहला कमांड सर्वर के दृष्टिकोण से बताता है कि हर पीयर को क्या भेजने की अनुमति है; दूसरा बताता है कि क्लाइंट पर कोई LAN एड्रेस वास्तव में कहाँ जाएगा। टनल इंटरफ़ेस पर रिज़ॉल्व होने वाला LAN गंतव्य काम करने वाला राउटिंग है, और भौतिक गेटवे से निकलने वाला फ़ायरवॉल कुछ भी कहे, कभी नहीं पहुँचेगा। क्लाइंट की अनुमत सूची में LAN प्रीफ़िक्स जोड़ें और वही दो कमांड निदान के बजाय सत्यापन का चरण बन जाते हैं।

IPsec गेटवे के लिए वही छलांग बताता है strongSwan का फ़ॉरवर्डिंग दस्तावेज़, जहाँ फ़ॉरवर्डिंग और एक source-NAT नियम टनल क्लाइंट को आंतरिक होस्ट से जोड़ते हैं। एड्रेसिंग अलग है; आवश्यकता नहीं।

एडमिन पेज कौन खोल सकता है

एक्सेस नियंत्रण राउटर पर होना चाहिए, सतर्क रहने के इरादे में नहीं। केवल प्रमाणित टनल पहचान या उस स्रोत श्रेणी को अनुमति दें जिसे पेज चाहिए, और राउटर की अपनी इनपुट चेन तथा किसी भी फ़ॉरवर्ड की गई LAN नीति को पढ़ें। वह नियम जो वायर्ड LAN को एडमिन पेज तक पहुँचने देता है, टनल इंटरफ़ेस पर आने वाले क्लाइंट के बारे में कुछ नहीं कहता। किसी विशिष्ट पहचान के लिए अपवाद लिखें, फिर दूसरी पहचान रखें जिसे अस्वीकार होना चाहिए।

श्रोता दूसरा आधा है और फ़ायरवॉल आउटपुट में अदृश्य है। ss -ltnp वह एड्रेस दिखाता है जिससे वेब सर्वर बंधा है, और केवल LAN एड्रेस से बंधी सेवा टनल एड्रेस पर जवाब नहीं देगी, नियम कितने भी अनुमतिपूर्ण हों। उसे फिर से बाँधना या एड्रेस जोड़ना राउटर पर कॉन्फ़िगरेशन परिवर्तन है, फ़ायरवॉल परिवर्तन नहीं।

प्रमाणीकरण और ट्रांसपोर्ट सत्यापन एक ही पास में चालू रखें। पहुँचना भरोसा नहीं है, और टनल के भीतर का हर डिवाइस इससे प्रशासक नहीं बन जाता। टनल क्रेडेंशियल और राउटर खाता अलग जीवनचक्र वाले अलग विशेषाधिकार हैं, इसलिए खोए लैपटॉप की कुंजी हर प्रशासक का पासवर्ड रीसेट किए बिना रद्द की जा सकती है।

सोफ़े से नहीं, बाहर से परीक्षण

ऐसे नेटवर्क से परीक्षण करें जिसे आप नियंत्रित नहीं करते। स्वीकृत टनल से जुड़ें, नया एडमिन सत्र खोलें और कुछ हानिरहित बदलें जिसे आप पेज पर प्रतिबिंबित होते देखें। सोफ़े से आप साबित करते हैं कि LAN काम करता है, जो कभी संदेह में नहीं था।

फिर उसी सावधानी से इनकारों का परीक्षण करें। टनल के बिना पेज खोलने का प्रयास करें और पुष्टि करें कि वह विफल होता है, और पुष्टि करें कि प्रशासन सेवा WAN एड्रेस पर बिल्कुल नहीं सुन रही। केवल बिना लिंक वाला पेज एक्सेस नियंत्रण नहीं है, और लॉगिन फ़ॉर्म दिखाने वाला WAN श्रोता अब भी WAN श्रोता है। यदि पासवर्ड इंटरनेट और राउटर कंसोल के बीच एकमात्र चीज़ है, तो डिज़ाइन एक पासवर्ड है।

घर की सेवाएँ वहाँ रहते हुए एक नज़र के योग्य हैं। प्रबंधन नियम कड़े करना अक्सर अतिथि नेटवर्क या परिवार के डिवाइसों द्वारा प्रयुक्त रिज़ॉल्वर तोड़ देता है, और वह दिनों बाद असंबंधित शिकायत के रूप में सामने आता है।

बदलाव करते समय वापसी का रास्ता रखना

दूर से रूट या टनल सेटिंग्स बदलने से पहले एक स्वतंत्र वापसी मार्ग तैयार करें। मौजूदा सत्र उस बदलाव को झेल सकता है जो पहले से नए कनेक्शन अवरुद्ध करता है, और लोग ठीक इसी तरह खुद को बाहर बंद कर लेते हैं जब वे अब भी चल रहे सत्र को देख रहे होते हैं। विकल्प ठोस हैं: किसी ज्ञात कॉन्फ़िगरेशन पर निर्धारित रीबूट, कंसोल या भौतिक पहुँच, ऐसी दूसरी टनल जो संपादित की जा रही सेटिंग पर निर्भर न हो, या आउट-ऑफ़-बैंड प्रबंधन जहाँ हार्डवेयर देता हो। एक चुनें और रखरखाव विंडो से पहले साबित करें, उसके दौरान नहीं।

रिकॉर्ड छोटा और अद्यतन रखें: कौन-सा होस्ट टनल समाप्त करता है, कौन-सी पहचानें पेज तक पहुँच सकती हैं, सेवा किस एड्रेस से बंधी है, और खोया डिवाइस कैसे रद्द होता है। वही सूची पुनर्प्राप्ति योजना का भी काम करती है, क्योंकि वह बताती है कि हर निर्भरता कहाँ रहती है। गायब वापसी मार्ग राउटिंग की समस्या है जिसे ठीक करना है, और यह कभी भी WAN पर प्रशासन प्रकाशित करने का कारण नहीं है।