Náðu í stjórnborð beitisins gegnum VPN, ekki WAN

Stjórnborð beitisins opnast á tveimur sekúndum frá sófanum og rennur út frá hótelherbergi, á meðan VPN-biðlari segist vera tengdur allan tímann. Það sem þú hefur er leið út, ekki leið til baka: göngin bera umferðina þína til internetsins og stöðva þar. Til að ná í tæki inni í þínu eigin LAN þarf lotu sem endar á einhverju sem hefur leið inn í það. Þetta er hönnunarákvörðun, ekki stilling, og hún ræður því hvort restin af vinnunni er yfirhöfuð möguleg.

Auðvelt er að týna þessum mun því ein vara getur sinnt báðum verkum. Viðskiptalegur útgangsbiðlari og netþjónn fyrir fjarandgang geta talað sömu samskiptareglur á sama porti, og munurinn er hvor aðilinn á adressurýmið fyrir aftan endapunktinn.

Hvor hlið gangnanna á LAN-ið

Fyrir stjórnun verður endapunkturinn að vera inni í netinu sem þú vilt ná í, eða hafa heimilaða leið inn í það. Beitir sem keyrir eigin VPN-netþjón uppfyllir það; svo gerir líka lítill ávallt kveiktur hýsill með fast netfang og leið inn í LAN-ið. Útgangsþjónusta sem þriðji aðili rekur uppfyllir það ekki, því endapunktur hennar hefur enga tengi á LAN-inu þínu og enga reglu sem myndi leyfa eitt að birtast. Þetta er athugunin sem þarf að klára áður en nokkuð annað er snert.

Fastbúnaður merkir sjaldan þennan mun, svo lestu hvað eiginleikinn gerir frekar en hvaða samskiptareglur hann nefnir. WireGuard, OpenVPN og IKEv2 koma allar fyrir á báðum hliðum markaðarins: ein bygging sendir heimilsumferð út, önnur tekur við fjarstýrðu tækinu þínu. Byggingu sem er aðeins biðlari er ekki hægt að breyta í netþjón með stillingum, hvernig sem valmyndin er orðuð.

Að láta leiðina til baka verða til

WireGuard-netþjónn á beitinu hefur tengifang eins og 10.8.0.1/24 og jafningjafærslu fyrir fartölvuna. Biðlarinn ræður því hvaða áfangastaði hann sendir í göngin, og listi sem inniheldur aðeins undirnet gangnanna lætur LAN-ið vera ósýnilegt, hvernig sem netþjónnum er stillt. Báðir endar verða að vera sammála, og venjulega er aðeins öðrum þeirra breytt.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Fyrsta skipunin greinir frá því hvað hverjum jafningja er heimilt að senda frá sjónarhóli netþjónsins; sú önnur greinir frá því hvert LAN-fang myndi raunverulega fara á biðlinum. LAN-áfangastaður sem leysist í tengi gangnanna er beining sem virkar, en sá sem fer út um líkamlegu gáttina kemur aldrei, hvað sem eldveggurinn segir. Bættu LAN-forskeytinu við heimilaðan lista biðlarans, og sömu tvær skipanirnar verða staðfestingarskref í stað greiningar.

Sama stökkið fyrir IPsec-gáttir er lýst í skjölum strongSwan um framsendingu, þar sem framsending og source-NAT-regla tengja göngubiðlara við innri hýsil. Fangafræðin er önnur; krafan ekki.

Hver má opna stjórnborðið

Aðgangsstýring á heima á beitinu, ekki í ætluninni að vera varkár. Heimilaðu aðeins auðkennda gönguauðkennið eða upprunasviðið sem þarf síðuna, og lestu eigin inntakskeðju beitisins auk allrar framsendrar LAN-stefnu. Regla sem leyfir snúruðu LAN-i að ná stjórnborðinu segir ekkert um biðlara sem kemur á tengi gangnanna. Skrifaðu undantekninguna fyrir tiltekið auðkenni, og haltu síðan öðru auðkenni sem á að hafna.

Hlustandinn er hinn helmingurinn og er ósýnilegur í úttaki eldveggsins. ss -ltnp sýnir fangið sem vefþjónninn er bundinn við, og þjónusta sem er aðeins bundin við LAN-fangið svarar ekki á fangi gangnanna, hversu leyfandi sem reglurnar eru. Að binda hana aftur eða bæta við fangi er stillingarbreyting á beitinu, ekki eldveggsbreyting.

Haltu auðkenningu og staðfestingu flutnings kveiktri í sama ferli. Að ná í er ekki traust, og hvert tæki inni í göngum verður ekki stjórnandi af því. Gönguauðkennið og reikningur beitisins eru aðskilin réttindi með aðskildum lífsferlum, svo hægt er að afturkalla lykil týndrar fartölvu án þess að endurstilla lykilorð hvers stjórnanda.

Prófa að utan, ekki frá sófanum

Prófaðu frá neti sem þú stjórnar ekki. Tengstu gegnum samþykktu göngin, opnaðu nýja stjórnlota og breyttu einhverju meinlausu sem þú sérð endurspeglast á síðunni. Frá sófanum sannar þú að LAN-ið virki, sem aldrei var efast um.

Prófaðu síðan höfnunina af sömu varúð. Reyndu síðuna án gangnanna og staðfestu að hún mistakist, og staðfestu að stjórnunarþjónustan hlusti alls ekki á WAN-fangið. Síða sem er bara ótengd er ekki aðgangsstýring, og hlustandi á WAN sem sýnir innskráningarform er enn hlustandi á WAN. Ef lykilorð er eina hindrunin milli internetsins og stjórnviðs beitisins, þá er hönnunin lykilorð.

Heimiliskerfi eiga skilið að líta á meðan þú ert þar. Herðing stjórnreglna brýtur oft gestanetið eða uppflettinn sem fjölskyldutækin nota, og það kemur í ljós dögum síðar sem ótengd kvörtun.

Að halda leið til baka þegar þú breytir hlutum

Áður en þú breytir leiðum eða göngustillingum í fjarska, undirbúðu óháða leið til baka. Núverandi lota getur lifað breytinguna sem þegar lokar nýjum tengingum, og einmitt þannig loka menn sig úti á meðan þeir fylgjast með lotu sem virkar enn. Valkostirnir eru áþreifanlegir: tímasett endurræsing í þekkta uppsetningu, stjórnvið eða líkamlegur aðgangur, önnur göng sem ekki ráðast af stillingunni sem er breytt, eða stjórnun utan bands þar sem vélbúnaðurinn býður hana. Veldu einn og sannaðu hann fyrir viðhaldsgluggann, ekki á meðan.

Haltu skránni stuttri og uppfærðri: hvaða hýsill endar göngin, hvaða auðkenni komast á síðuna, við hvaða fang þjónustan bindst og hvernig týndu tæki er afturkallað. Sá listi gagnast líka sem endurheimtarplan, því hann segir hvar hver ósjálfstæði býr. Týnd leið til baka er leiðréttingarverkefni í beiningu, og hún er aldrei ástæða til að birta stjórnun á WAN.