Հասեք երթուղիչի ադմին էջին VPN-ով, ոչ WAN-ով

Երթուղիչի ադմին էջը բացվում է բազմոցից երկու վայրկյանում և ժամկետանց է դառնում հյուրանոցային սենյակից, մինչդեռ VPN-հաճախորդը ողջ ընթացքում հաղորդում է կապված լինելու մասին: Ձեր ունեցածը դուրս գալու ուղի է, ոչ վերադարձի. թունելը ձեր երթևեկությունը տանում է ինտերնետ և կանգ առնում այնտեղ: Ձեր սեփական LAN-ի ներսում գտնվող սարքին հասնելու համար անհրաժեշտ է նստաշրջան, որն ավարտվում է մի բանի վրա, որն այնտեղ ուղի ունի: Սա ձևավորման որոշում է, ոչ կարգավորում, և այն որոշում է՝ արդյոք մնացած աշխատանքը հնարավոր է ընդհանրապես:

Այս տարբերությունը հեշտ է կորցնել, որովհետև մեկ ապրանք կարող է կատարել երկու աշխատանքն էլ: Առևտրային ելքի հաճախորդը և հեռավոր մուտքի սերվերը կարող են խոսել նույն արձանագրությամբ նույն պորտում, և տարբերությունն այն է, թե որ կողմն է տիրապետում վերջնակետի հետևի հասցեատարածությանը:

Թունելի որ կողմն է տիրապետում LAN-ին

Կառավարման համար վերջնակետը պետք է լինի այն ցանցի ներսում, որին ուզում եք հասնել, կամ ունենա լիազորված ուղի դեպի այն: Սեփական VPN սերվերով աշխատող երթուղիչը համապատասխանում է. նաև փոքր, մշտապես միացված հոսթը՝ ֆիքսված հասցեով և դեպի LAN ուղիով: Երրորդ կողմի կողմից շահագործվող ելքի ծառայությունը չի համապատասխանում, որովհետև նրա վերջնակետը ձեր LAN-ում ինտերֆեյս չունի և ոչ մի կանոն, որը կթույլատրեր մեկի հայտնվելը: Սա այն ստուգումն է, որ պետք է ավարտել նախքան որևէ այլ բանի դիպչելը:

Որոնվածը հազվադեպ է պիտակավորում այդ տարբերությունը, ուստի կարդացեք, թե ինչ է անում գործառույթը, այլ ոչ թե ինչ արձանագրություն է նշում: WireGuard, OpenVPN և IKEv2 բոլորն էլ հանդիպում են շուկայի երկու կողմերում. մեկ կառուցվածք տնային երթևեկությունն ուղարկում է դուրս, մյուսն ընդունում է ձեր հեռավոր սարքը: Միայն հաճախորդի կառուցվածքը հնարավոր չէ կարգավորումով վերածել սերվերի, ինչպես էլ ձևակերպված լինի ընտրացանկը:

Ստեղծել վերադարձի ուղին

Երթուղիչի վրա WireGuard սերվերն ունի ինտերֆեյսի հասցե, օրինակ 10.8.0.1/24, և գործընկերոջ գրառում նոութբուքի համար: Հաճախորդը որոշում է, թե որ նպատակակետերն ուղարկի թունել, և միայն թունելի ենթացանցը պարունակող ցանկը LAN-ը թողնում է անտեսանելի, ինչպես էլ կարգավորված լինի սերվերը: Երկու ծայրերը պետք է համաձայնեն, և սովորաբար խմբագրվում է դրանցից միայն մեկը:

wg show wg0 allowed-ips
ip route get 192.168.1.1

Առաջին հրամանը հաղորդում է, թե ինչ ուղարկել թույլատրվում է յուրաքանչյուր գործընկերոջը սերվերի տեսանկյունից. երկրորդը հաղորդում է, թե որտեղ է իրականում գնալու LAN հասցեն հաճախորդի վրա: LAN նպատակակետը, որը լուծվում է թունելի ինտերֆեյսի, աշխատող երթուղավորում է, իսկ ֆիզիկական դարպասով դուրս եկողը երբեք չի հասնի, ինչ էլ ասի հրադադարը: Ավելացրեք LAN նախածանցը հաճախորդի թույլատրած ցանկին, և նույն երկու հրամանները դառնում են ախտորոշումից ստուգման քայլ:

Նույն թռիչքը IPsec դարպասների համար նկարագրում է strongSwan-ի փոխանցման փաստաթղթերը, որտեղ փոխանցումը և source-NAT կանոնը միացնում են թունելի հաճախորդին ներքին հոսթի: Հասցեավորումը տարբերվում է. պահանջը՝ ոչ:

Ով կարող է բացել ադմին էջը

Մուտքի հսկողությունը պատկանում է երթուղիչին, ոչ թե զգուշավոր լինելու մտադրությանը: Թույլատրեք միայն նույնականացված թունելի ինքնությանը կամ այն աղբյուրի միջակայքին, որին անհրաժեշտ է էջը, և կարդացեք ինքնին երթուղիչի մուտքային շղթան, ինչպես նաև ցանկացած փոխանցված LAN քաղաքականություն: Կանոնը, որը թույլ է տալիս լարային LAN-ին հասնել ադմին էջին, ոչինչ չի ասում թունելի ինտերֆեյսով եկող հաճախորդի մասին: Գրեք բացառությունը կոնկրետ ինքնության համար, ապա պահեք երկրորդ ինքնություն, որը պետք է մերժվի:

Լսողը մյուս կեսն է, և այն անտեսանելի է հրադադարի արտածման մեջ: ss -ltnp ցույց է տալիս այն հասցեն, որին կապված է վեբ սերվերը, և միայն LAN հասցեին կապված ծառայությունը չի պատասխանի թունելի հասցեով, որքան էլ թույլատրող լինեն կանոնները: Այն վերակապելը կամ հասցե ավելացնելը կարգավորման փոփոխություն է երթուղիչի վրա, ոչ հրադադարի փոփոխություն:

Պահեք նույնականացումը և տրանսպորտի վավերացումը միացված նույն անցումում: Հասանելիությունը վստահություն չէ, և թունելի ներսում գտնվող ամեն սարք դրանով ադմինիստրատոր չի դառնում: Թունելի հավատարմագրերն ու երթուղիչի հաշիվը առանձին արտոնություններ են՝ առանձին կյանքի ցիկլերով, ուստի կորած նոութբուքի բանալին կարելի է չեղարկել առանց յուրաքանչյուր ադմինիստրատորի գաղտնաբառը վերականգնելու:

Փորձարկել դրսից, ոչ բազմոցից

Փորձարկեք ձեր չվերահսկվող ցանցից: Միացեք հաստատված թունելով, բացեք նոր ադմին նստաշրջան և փոխեք ինչ-որ անվտանգ բան, որը տեսնում եք արտացոլված էջում: Բազմոցից դուք ապացուցում եք, որ LAN-ը աշխատում է, ինչը երբեք կասկածի տակ չի եղել:

Ապա նույն խնամքով փորձարկեք մերժումները: Փորձեք էջը առանց թունելի և հաստատեք, որ այն ձախողվում է, և հաստատեք, որ կառավարման ծառայությունն ընդհանրապես չի լսում WAN հասցեով: Միայն առանց հղման էջը մուտքի հսկողություն չէ, և WAN-ով մուտքի ձև ցուցադրող լսողը դեռ WAN լսող է: Եթե գաղտնաբառը միակ բանն է ինտերնետի և երթուղիչի վահանակի միջև, ապա ձևավորումը գաղտնաբառ է:

Տնային ծառայությունները արժանի են հայացքի, մինչ այնտեղ եք: Կառավարման կանոնների խստացումը հաճախ կոտրում է հյուրերի ցանցը կամ ընտանիքի սարքերի օգտագործած լուծիչը, և դա ի հայտ է գալիս օրեր անց որպես անկապ բողոք:

Պահել վերադարձի ուղին, մինչ փոփոխություններ եք անում

Նախքան հեռավոր երթուղիները կամ թունելի կարգավորումները փոխելը պատրաստեք անկախ վերադարձի ուղի: Գոյություն ունեցող նստաշրջանը կարող է վերապրել այն փոփոխությունը, որն արդեն արգելափակում է նոր կապերը, և հենց այդպես են մարդիկ իրենց դուրս փակում՝ դիտելով դեռ աշխատող նստաշրջան: Ընտրանքները կոնկրետ են. ծրագրված վերագործարկում հայտնի կազմաձևի, վահանակի կամ ֆիզիկական հասանելիություն, երկրորդ թունել, որը կախված չէ խմբագրվող կարգավորումից, կամ ժապավենից դուրս կառավարում, որտեղ սարքավորումը դա առաջարկում է: Ընտրեք մեկը և ապացուցեք այն սպասարկման պատուհանից առաջ, ոչ դրա ընթացքում:

Պահեք գրառումը կարճ և արդիական. որ հոսթն է ավարտում թունելը, որ ինքնությունները կարող են հասնել էջին, որ հասցեին է կապված ծառայությունը և ինչպես է չեղարկվում կորած սարքը: Այդ ցանկը նաև վերականգնման ծրագիր է, որովհետև ասում է, թե որտեղ է ապրում յուրաքանչյուր կախվածություն: Բացակայող վերադարձի ուղին ուղղման ենթակա երթուղավորման խնդիր է, և այն երբեք պատճառ չէ կառավարումը WAN-ում հրապարակելու: