A router admin oldalát VPN-en keresztül érje el, ne a WAN-on

A router admin oldala két másodperc alatt megnyílik a kanapéról, és egy hotelszobából időtúllépésbe fut, miközben a VPN-kliens végig kapcsolódott állapotot jelent. Amit van, az kifelé vezető út, nem visszavezető: az alagút a forgalmát az internetre viszi, és ott megáll. Ahhoz, hogy elérjen egy eszközt a saját LAN-jában, olyan munkamenet kell, amely olyasmin végződik, aminek van oda útvonala. Ez tervezési döntés, nem beállítás, és eldönti, egyáltalán lehetséges-e a többi munka.

A különbséget könnyű elveszíteni, mert egy termék mindkét feladatot el tudja látni. Egy kereskedelmi kimeneti kliens és egy távoli hozzáférésű kiszolgáló ugyanazt a protokollt beszélheti ugyanazon a porton, és a különbség az, melyik fél birtokolja a végpont mögötti címteret.

Az alagút melyik oldala birtokolja a LAN-t

Az adminisztrációhoz a végpontnak abban a hálózatban kell lennie, amelyet el akar érni, vagy engedélyezett útvonala kell lennie bele. A saját VPN-kiszolgálót futtató router megfelel; egy kicsi, folyamatosan bekapcsolt gazdagép is fix címmel és a LAN felé vezető útvonallal. Egy harmadik fél által üzemeltetett kimeneti szolgáltatás nem felel meg, mert végpontjának nincs interfésze a LAN-ján, és nincs szabály, amely engedné, hogy megjelenjen egy. Ezt az ellenőrzést kell befejezni, mielőtt bármi máshoz nyúlna.

A firmware ritkán jelöli ezt a különbséget, ezért azt olvassa, mit tesz a funkció, ne azt, milyen protokollt nevez meg. WireGuard, OpenVPN és IKEv2 mindkettő megjelenik a piac mindkét oldalán: az egyik build kifelé küldi a háztartási forgalmat, a másik fogadja a távoli eszközét. Egy csak kliens build konfigurációval nem tehető kiszolgálóvá, akárhogy fogalmazzák a menüt.

A visszaút létrehozása

A routeren futó WireGuard-kiszolgálónak van egy interfészcíme, például 10.8.0.1/24, és egy peer-bejegyzése a laptop számára. A kliens dönti el, mely célokat küldi az alagútba, és egy csak az alagút alhálózatát tartalmazó lista láthatatlanná teszi a LAN-t, akárhogy konfigurálják a kiszolgálót. Mindkét végnek meg kell egyeznie, és általában csak az egyiket szerkesztik.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Az első parancs azt jelenti, mit küldhet minden peer a kiszolgáló szemszögéből; a második azt, hová menne egy LAN-cím valójában a kliensen. Az alagút interfészére feloldódó LAN-cél működő útválasztás, a fizikai átjárón kifelé menő pedig soha nem érkezik meg, bármit mond a tűzfal. Adja hozzá a LAN előtagját a kliens engedélyezett listájához, és ugyanaz a két parancs diagnózis helyett ellenőrzési lépéssé válik.

Ugyanezt az ugrást az IPsec-átjárókhoz a strongSwan továbbítási dokumentációja írja le, ahol a továbbítás és egy source-NAT szabály kapcsolja össze az alagútklienst egy belső gazdagéppel. A címzés eltér; a követelmény nem.

Ki nyithatja meg az admin oldalt

A hozzáférés-vezérlés a routerre tartozik, nem az óvatosság szándékára. Csak a hitelesített alagút-identitást vagy azt a forrástartományt engedje, amelynek szüksége van az oldalra, és olvassa a router saját bemeneti láncát, valamint minden továbbított LAN-házirendet. Egy szabály, amely a vezetékes LAN-nak engedélyezi az admin oldal elérését, semmit sem mond az alagút interfészén érkező kliensről. Írja meg a kivételt egy adott identitásra, majd tartson meg egy második identitást, amelyet el kell utasítani.

A figyelő a másik fél, és láthatatlan a tűzfal kimenetében. ss -ltnp mutatja a címet, amelyhez a webkiszolgáló kötve van, és a csak a LAN-címhez kötött szolgáltatás nem válaszol az alagút címén, bármennyire engedékenyek a szabályok. Újrakötése vagy cím hozzáadása konfigurációváltozás a routeren, nem tűzfalváltozás.

Tartsa bekapcsolva a hitelesítést és a szállítás érvényesítését ugyanabban a menetben. Az elérhetőség nem bizalom, és az alagúton belüli minden eszköz nem lesz ezáltal adminisztrátor. Az alagút hitelesítő adata és a routerfiók külön jogosultságok külön életciklussal, így egy elveszett laptop kulcsa visszavonható anélkül, hogy minden adminisztrátor jelszavát visszaállítanák.

Kívülről tesztelni, nem a kanapéról

Teszteljen olyan hálózatból, amelyet nem ellenőriz. Csatlakozzon a jóváhagyott alagúton, nyisson friss admin munkamenetet, és változtasson meg valami ártalmatlant, amit lát az oldalon megjelenni. A kanapéról azt bizonyítja, hogy a LAN működik, ami soha nem volt kétséges.

Aztán ugyanolyan gonddal tesztelje az elutasításokat. Próbálja meg az oldalt az alagút nélkül, és erősítse meg, hogy meghiúsul, és erősítse meg, hogy az adminisztrációs szolgáltatás egyáltalán nem figyel a WAN-címen. Egy oldal, amely csak nincs linkelve, nem hozzáférés-vezérlés, és a WAN-on bejelentkező űrlapot mutató figyelő továbbra is WAN-figyelő. Ha egy jelszó az egyetlen dolog az internet és a router konzolja között, a tervezés egy jelszó.

A háztartási szolgáltatások ránézést érdemelnek, míg ott van. A kezelési szabályok szigorítása gyakran elrontja a vendéghálózatot vagy a családi eszközök által használt feloldót, és ez napokkal később összefüggéstelen panasz formájában kerül elő.

Visszaút megtartása, miközben változtat

Mielőtt távolról módosítja az útvonalakat vagy az alagút beállításait, készítsen független visszautat. Egy meglévő munkamenet túlélheti azt a változtatást, amely már blokkolja az új kapcsolatokat, és pontosan így zárják ki magukat az emberek, miközben egy még működő munkamenetet figyelnek. A lehetőségek konkrétak: ütemezett újraindítás ismert konfigurációra, konzol- vagy fizikai hozzáférés, egy második alagút, amely nem függ a szerkesztett beállítástól, vagy sávon kívüli kezelés, ahol a hardver kínálja. Válasszon egyet, és a karbantartási ablak előtt bizonyítsa, ne közben.

Tartsa a nyilvántartást rövidnek és naprakésznek: melyik gazdagép végzi az alagutat, mely identitások érhetik el az oldalt, melyik címhez kötődik a szolgáltatás, és hogyan vonják vissza az elveszett eszközt. Ez a lista egyben helyreállítási terv is, mert megmondja, hol lakik minden függőség. A hiányzó visszaút javítandó útválasztási probléma, és soha nem ok arra, hogy az adminisztrációt a WAN-on tegye közzé.