ルーターの管理画面にはWANではなくVPN経由で到達する

ルーターの管理画面はソファからは二秒で開くのに、ホテルの部屋からはタイムアウトする。その間VPNクライアントはずっと接続中を報告している。手元にあるのは出口であって戻り道ではない。トンネルは通信をインターネットまで運び、そこで止まる。自分のLAN内の機器に届くには、そこへの経路を持つ何かで終端するセッションが要る。これは設定ではなく設計の判断であり、残りの作業がそもそも可能かどうかを決める。

この区別を失いやすいのは、一つの製品が両方の仕事をこなせるからだ。商用の出口クライアントとリモートアクセスサーバーは同じポートで同じプロトコルを話せる。違いは、端点の背後にあるアドレス空間をどちら側が持つかにある。

トンネルのどちら側がLANを持つか

管理のためには、端点が到達したいネットワークの内側にあるか、そこへの許可された経路を持つ必要がある。自前のVPNサーバーを動かすルーターは条件を満たす。固定アドレスとLANへの経路を持つ小さな常時稼働ホストも同様だ。第三者が運用する出口サービスは満たさない。その端点にはあなたのLAN上のインターフェースも、それが現れることを許す規則もないからだ。他の何かに触れる前にこの確認を終えるべきだ。

ファームウェアはこの違いにほとんどラベルを付けない。だからプロトコル名ではなく、その機能が何をするかを読む。WireGuard、OpenVPN、IKEv2はいずれも市場の両側に現れる。あるビルドは家庭の通信を外へ送り、別のビルドはあなたの遠隔機器を受け入れる。クライアント専用のビルドは、メニューがどう書かれていても設定でサーバーにはできない。

戻り経路を存在させる

ルーター上のWireGuardサーバーには10.8.0.1/24のようなインターフェースアドレスと、ノートPC用のピア項目がある。どの宛先をトンネルに送るかはクライアントが決め、トンネルのサブネットだけを含むリストでは、サーバーがどう設定されていてもLANは見えないままになる。両端が合意する必要があり、ふつう編集されるのは片方だけだ。

wg show wg0 allowed-ips
ip route get 192.168.1.1

最初のコマンドは、サーバーの視点で各ピアが何を送ってよいかを報告する。二番目は、LANのアドレスがクライアント上で実際にどこへ向かうかを報告する。トンネルのインターフェースに解決されるLAN宛先は機能するルーティングであり、物理ゲートウェイから出る宛先はファイアウォールが何と言おうと決して届かない。クライアントの許可リストにLANプレフィックスを加えれば、同じ二つのコマンドが診断ではなく検証の手順になる。

IPsecゲートウェイについて同じ跳躍を説明しているのが、strongSwanの転送に関するドキュメントだ。そこでは転送とsource-NATの規則がトンネルクライアントを内部ホストにつなぐ。アドレス指定は違うが、要件は同じだ。

管理画面を開けるのは誰か

アクセス制御はルーター側に属するもので、気をつけるつもりの中ではない。画面を必要とする認証済みのトンネルIDまたは送信元範囲だけを許可し、ルーター自身の入力チェーンと転送されたLANポリシーの両方を読む。有線LANに管理画面への到達を許す規則は、トンネルインターフェースから来るクライアントについて何も語らない。特定のIDに対する例外を書き、次に拒否されるべき二つ目のIDを用意する。

リスナーはもう半分であり、ファイアウォールの出力には見えない。ss -ltnpはウェブサーバーが束縛されているアドレスを示す。LANのアドレスだけに束縛されたサービスは、規則がどれほど寛容でもトンネルのアドレスでは応答しない。束縛を変えるかアドレスを追加するのはルーター側の設定変更であり、ファイアウォールの変更ではない。

認証と転送の検証を同じ手順で有効にしておく。到達できることは信頼ではない。トンネル内のあらゆる機器がそれで管理者になるわけではない。トンネルの資格情報とルーターのアカウントは別々のライフサイクルを持つ別々の権限であり、紛失したノートPCの鍵を、すべての管理者のパスワードを再設定せずに失効させられる。

ソファからではなく外から試す

自分が制御していないネットワークから試す。承認されたトンネル経由で接続し、新しい管理セッションを開き、画面に反映されるのを確認できる無害な変更を加える。ソファからはLANが動くことを証明しているだけで、それは疑われたことがない。

次に同じ丁寧さで拒否を試す。トンネルなしで画面を開こうとして失敗することを確認し、管理サービスがWANアドレスでまったく待ち受けていないことを確認する。単にリンクされていない画面はアクセス制御ではなく、ログインフォームを表示するWANのリスナーは依然としてWANのリスナーだ。インターネットとルーターのコンソールの間にあるのがパスワードだけなら、設計はパスワードである。

そこにいる間に家庭内のサービスにも目を向けたい。管理規則を厳しくすると、ゲストネットワークや家族の機器が使うリゾルバーが壊れることが多く、それは数日後に無関係な苦情として表面化する。

変更する間も戻り道を確保する

遠隔で経路やトンネル設定を変える前に、独立した戻り道を用意する。既存のセッションは、新しい接続をすでに遮断している変更を生き延びることがあり、まだ動いているセッションを見ながら人が自分を締め出すのはまさにこういう形だ。選択肢は具体的だ。既知の構成への定期再起動、コンソールまたは物理アクセス、編集中の設定に依存しない二つ目のトンネル、ハードウェアが提供するなら帯域外管理。一つ選び、保守時間の前に証明する。

記録は短く最新に保つ。どのホストがトンネルを終端するか、どのIDが画面に到達できるか、サービスがどのアドレスに束縛されるか、紛失した機器をどう失効させるか。その一覧は復旧計画も兼ねる。依存がどこにあるかを語るからだ。戻り経路の欠落は直すべきルーティングの問題であり、管理をWANに公開する理由には決してならない。