Mencapai halaman admin router lewat VPN, bukan lewat WAN

Halaman admin router terbuka dalam dua detik dari sofa dan kehabisan waktu dari kamar hotel, sementara klien VPN melaporkan terhubung sepanjang waktu. Yang Anda punya adalah jalan keluar, bukan jalan kembali: tunnel membawa lalu lintas Anda ke internet dan berhenti di sana. Untuk mencapai perangkat di dalam LAN Anda sendiri dibutuhkan sesi yang berakhir pada sesuatu yang memiliki rute ke sana. Itu keputusan desain, bukan pengaturan, dan itu menentukan apakah sisa pekerjaan mungkin dilakukan sama sekali.

Perbedaan ini mudah hilang karena satu produk dapat melakukan kedua tugas. Klien exit komersial dan server akses jarak jauh dapat berbicara protokol yang sama pada port yang sama, dan bedanya adalah sisi mana yang memiliki ruang alamat di balik titik akhir.

Sisi mana dari tunnel yang memiliki LAN

Untuk administrasi, titik akhir harus berada di dalam jaringan yang ingin Anda capai, atau memiliki jalur yang diizinkan ke sana. Router yang menjalankan server VPN sendiri memenuhi syarat; begitu juga host kecil yang selalu menyala dengan alamat tetap dan rute ke LAN. Layanan exit yang dioperasikan pihak ketiga tidak memenuhi, karena titik akhirnya tidak memiliki antarmuka di LAN Anda dan tidak ada aturan yang memungkinkan satu muncul. Inilah pemeriksaan yang harus diselesaikan sebelum menyentuh hal lain.

Firmware jarang memberi label pada perbedaan itu, jadi bacalah apa yang dilakukan fitur, bukan protokol apa yang disebutnya. WireGuard, OpenVPN dan IKEv2 semuanya muncul di kedua sisi pasar: satu build mengirim lalu lintas rumah tangga ke luar, yang lain menerima perangkat jarak jauh Anda. Build khusus klien tidak dapat diubah menjadi server lewat konfigurasi, bagaimanapun menu ditulis.

Membuat rute kembali ada

Server WireGuard di router memiliki alamat antarmuka seperti 10.8.0.1/24 dan entri peer untuk laptop. Klien memutuskan tujuan mana yang akan dikirim ke tunnel, dan daftar yang hanya berisi subnet tunnel membuat LAN tidak terlihat, bagaimanapun server dikonfigurasi. Kedua ujung harus setuju, dan biasanya hanya satu yang diedit.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Perintah pertama melaporkan apa yang boleh dikirim setiap peer dari sudut pandang server; yang kedua melaporkan ke mana alamat LAN benar-benar akan pergi pada klien. Tujuan LAN yang diselesaikan ke antarmuka tunnel adalah perutean yang berfungsi, dan yang keluar melalui gateway fisik tidak akan pernah tiba, apa pun kata firewall. Tambahkan prefiks LAN ke daftar yang diizinkan klien dan kedua perintah yang sama menjadi langkah verifikasi alih-alih diagnosis.

Lompatan yang sama untuk gateway IPsec dijelaskan oleh dokumentasi penerusan strongSwan, di mana penerusan dan aturan source-NAT menghubungkan klien tunnel ke host internal. Pengalamatannya berbeda; persyaratannya tidak.

Siapa yang boleh membuka halaman admin

Kontrol akses berada di router, bukan pada niat untuk berhati-hati. Izinkan hanya identitas tunnel yang terautentikasi atau rentang sumber yang membutuhkan halaman, dan baca rantai input router itu sendiri serta kebijakan LAN yang diteruskan. Aturan yang membiarkan LAN kabel mencapai halaman admin tidak mengatakan apa pun tentang klien yang datang pada antarmuka tunnel. Tulis pengecualian untuk identitas tertentu, lalu pertahankan identitas kedua yang harus ditolak.

Pendengar adalah separuh lainnya dan tidak terlihat dalam keluaran firewall. ss -ltnp menunjukkan alamat tempat server web terikat, dan layanan yang terikat hanya ke alamat LAN tidak akan menjawab pada alamat tunnel, sepermisif apa pun aturannya. Mengikatnya ulang atau menambahkan alamat adalah perubahan konfigurasi pada router, bukan perubahan firewall.

Pertahankan autentikasi dan validasi transport aktif dalam satu lintasan yang sama. Terjangkau bukan berarti tepercaya, dan setiap perangkat di dalam tunnel tidak dengan sendirinya menjadi administrator. Kredensial tunnel dan akun router adalah hak istimewa terpisah dengan siklus hidup terpisah, sehingga kunci laptop yang hilang dapat dicabut tanpa mengatur ulang kata sandi setiap administrator.

Menguji dari luar, bukan dari sofa

Uji dari jaringan yang tidak Anda kendalikan. Sambungkan melalui tunnel yang disetujui, buka sesi admin baru, dan ubah sesuatu yang tidak berbahaya yang Anda lihat tercermin di halaman. Dari sofa Anda membuktikan LAN berfungsi, yang tidak pernah diragukan.

Lalu uji penolakannya dengan kecermatan yang sama. Coba halaman tanpa tunnel dan pastikan gagal, dan pastikan layanan administrasi sama sekali tidak mendengarkan pada alamat WAN. Halaman yang hanya tidak tertaut bukan kontrol akses, dan pendengar WAN yang menampilkan formulir masuk tetap pendengar WAN. Jika kata sandi adalah satu-satunya hal antara internet dan konsol router, desainnya adalah kata sandi.

Layanan rumah tangga layak dilihat selagi Anda di sana. Memperketat aturan manajemen sering merusak jaringan tamu atau resolver yang digunakan perangkat keluarga, dan itu muncul beberapa hari kemudian sebagai keluhan yang tidak terkait.

Menjaga jalan kembali saat Anda mengubah sesuatu

Sebelum mengubah rute atau pengaturan tunnel dari jarak jauh, siapkan jalan kembali yang independen. Sesi yang ada dapat bertahan terhadap perubahan yang sudah memblokir koneksi baru, dan itulah tepatnya bagaimana orang mengunci diri sendiri saat menonton sesi yang masih berfungsi. Pilihannya konkret: reboot terjadwal ke konfigurasi yang diketahui, akses konsol atau fisik, tunnel kedua yang tidak bergantung pada pengaturan yang sedang diedit, atau manajemen out-of-band di mana perangkat keras menawarkannya. Pilih satu dan buktikan sebelum jendela pemeliharaan, bukan selama.

Jaga catatan tetap singkat dan mutakhir: host mana yang mengakhiri tunnel, identitas mana yang boleh mencapai halaman, ke alamat mana layanan terikat, dan bagaimana perangkat yang hilang dicabut. Daftar itu sekaligus menjadi rencana pemulihan, karena menyebutkan di mana setiap dependensi berada. Rute kembali yang hilang adalah masalah perutean untuk diperbaiki, dan itu tidak pernah menjadi alasan untuk menerbitkan administrasi di WAN.