მარშრუტიზატორის ადმინის გვერდზე მიღწევა VPN-ით, არა WAN-ით

მარშრუტიზატორის ადმინის გვერდი დივნიდან ორ წამში იხსნება, სასტუმროს ოთახიდან კი ვადა ეწურება, მაშინ როცა VPN კლიენტი მთელი დრო ამბობს, რომ დაკავშირებულია. რაც გაქვთ, გასასვლელი გზაა და არა დაბრუნების: გვირაბი თქვენს ტრაფიკს ინტერნეტში მიჰყავს და იქ ჩერდება. საკუთარ LAN-ში მოწყობილობამდე მისასვლელად საჭიროა სესია, რომელიც მთავრდება იმაზე, რასაც იქითკენ მარშრუტი აქვს. ეს დიზაინის გადაწყვეტილებაა და არა პარამეტრი, და ის განსაზღვრავს, შესაძლებელია თუ არა დარჩენილი სამუშაო საერთოდ.

ამ განსხვავების დაკარგვა ადვილია, რადგან ერთ პროდუქტს ორივე საქმის შესრულება შეუძლია. კომერციულ გასასვლელ კლიენტსა და დისტანციური წვდომის სერვერს ერთი და იმავე პროტოკოლით ერთსა და იმავე პორტზე საუბარი შეუძლიათ, განსხვავება კი იმაშია, რომელი მხარე ფლობს ბოლო წერტილის უკან არსებულ მისამართთა სივრცეს.

გვირაბის რომელი მხარე ფლობს LAN-ს

ადმინისტრირებისთვის ბოლო წერტილი უნდა იყოს იმ ქსელის შიგნით, რომელსაც გსურთ მიაღწიოთ, ან ჰქონდეს მასში ნებადართული გზა. საკუთარი VPN სერვერის მქონე მარშრუტიზატორი აკმაყოფილებს; ასევე პატარა, მუდამ ჩართული ჰოსტი ფიქსირებული მისამართითა და LAN-ისკენ მარშრუტით. მესამე მხარის მიერ ოპერირებული გასასვლელი სერვისი არ აკმაყოფილებს, რადგან მის ბოლო წერტილს თქვენს LAN-ზე არც ინტერფეისი აქვს და არც წესი, რომელიც მის გამოჩენას დაუშვებდა. ეს არის შემოწმება, რომელიც სხვა რამეზე შეხებამდე უნდა დასრულდეს.

პროგრამულ უზრუნველყოფას იშვიათად აქვს ამ განსხვავების იარლიყი, ამიტომ წაიკითხეთ რას აკეთებს ფუნქცია და არა რომელ პროტოკოლს ასახელებს. WireGuard, OpenVPN და IKEv2 ყველა ბაზრის ორივე მხარეს გვხვდება: ერთი ნაგებობა საოჯახო ტრაფიკს გარეთ აგზავნის, მეორე თქვენს დისტანციურ მოწყობილობას იღებს. მხოლოდ კლიენტის ნაგებობა კონფიგურაციით სერვერად ვერ გადაიქცევა, როგორც არ უნდა იყოს მენიუ ჩამოწერილი.

დაბრუნების მარშრუტის შექმნა

მარშრუტიზატორზე WireGuard სერვერს აქვს ინტერფეისის მისამართი, მაგალითად 10.8.0.1/24, და პარტნიორის ჩანაწერი ლეპტოპისთვის. კლიენტი წყვეტს, რომელი დანიშნულებები გაგზავნოს გვირაბში, და მხოლოდ გვირაბის ქვექსელის შემცველი სია LAN-ს უხილავს ტოვებს, როგორც არ უნდა იყოს სერვერი კონფიგურირებული. ორივე ბოლომ უნდა შეთანხმდეს, და ჩვეულებრივ მხოლოდ ერთი მათგანი რედაქტირდება.

wg show wg0 allowed-ips
ip route get 192.168.1.1

პირველი ბრძანება იტყობინება, რისი გაგზავნა ეძლევა ყოველ პარტნიორს სერვერის თვალსაზრისით; მეორე იტყობინება, საით წავა LAN-ის მისამართი რეალურად კლიენტზე. LAN-ის დანიშნულება, რომელიც გვირაბის ინტერფეისზე იხსნება, მომუშავე მარშრუტიზაციაა, ხოლო ფიზიკური კარიბჭიდან გამავალი არასოდეს ჩავა, რაც არ უნდა თქვას ფაიერვოლმა. დაამატეთ LAN-ის პრეფიქსი კლიენტის ნებადართულ სიაში და იგივე ორი ბრძანება დიაგნოსტიკის ნაცვლად შემოწმების საფეხური გახდება.

იგივე ნახტომს IPsec კარიბჭეებისთვის აღწერს strongSwan-ის გადაცემის დოკუმენტაცია, სადაც გადაცემა და source-NAT წესი აკავშირებს გვირაბის კლიენტს შიდა ჰოსტთან. მისამართვა განსხვავდება; მოთხოვნა არა.

ვის შეუძლია ადმინის გვერდის გახსნა

წვდომის კონტროლი მარშრუტიზატორს ეკუთვნის და არა სიფრთხილის განზრახვას. დაუშვით მხოლოდ აუთენტიფიცირებული გვირაბის იდენტობა ან ის წყაროს დიაპაზონი, რომელსაც გვერდი სჭირდება, და წაიკითხეთ თავად მარშრუტიზატორის შემავალი ჯაჭვი და ნებისმიერი გადაცემული LAN პოლიტიკა. წესი, რომელიც სადენიან LAN-ს ადმინის გვერდზე მიშვებას აძლევს, არაფერს ამბობს გვირაბის ინტერფეისზე მომსვლელ კლიენტზე. დაწერეთ გამონაკლისი კონკრეტული იდენტობისთვის, შემდეგ შეინარჩუნეთ მეორე იდენტობა, რომელიც უნდა უარყოფილ იქნას.

მსმენელი მეორე ნახევარია და ფაიერვოლის გამოსავალში უხილავია. ss -ltnp აჩვენებს მისამართს, რომელზეც ვებ-სერვერია მიბმული, და მხოლოდ LAN-ის მისამართზე მიბმული სერვისი გვირაბის მისამართზე არ უპასუხებს, რაც არ უნდა ნებადართული იყოს წესები. მისი ხელახლა მიბმა ან მისამართის დამატება კონფიგურაციის ცვლილებაა მარშრუტიზატორზე და არა ფაიერვოლის ცვლილება.

შეინარჩუნეთ აუთენტიფიკაცია და ტრანსპორტის ვალიდაცია ჩართული იმავე გავლაში. მიღწევადობა ნდობა არ არის, და გვირაბის შიგნით ყოველი მოწყობილობა ამით ადმინისტრატორი არ ხდება. გვირაბის სერტიფიკატი და მარშრუტიზატორის ანგარიში ცალკეული უფლებებია ცალკეული სიცოცხლის ციკლებით, ამიტომ დაკარგული ლეპტოპის გასაღები გაუქმდება ყოველი ადმინისტრატორის პაროლის გადატვირთვის გარეშე.

გამოცდა გარედან და არა დივნიდან

გამოსცადეთ ქსელიდან, რომელსაც არ აკონტროლებთ. დაუკავშირდით დამტკიცებული გვირაბით, გახსენით ახალი ადმინის სესია და შეცვალეთ რამ უვნებელი, რისი ასახვაც გვერდზე ჩანს. დივნიდან ამტკიცებთ, რომ LAN მუშაობს, რაც არასოდეს ყოფილა ეჭვქვეშ.

შემდეგ იგივე ზრუნვით გამოსცადეთ უარყოფები. სცადეთ გვერდი გვირაბის გარეშე და დაადასტურეთ, რომ ვერ იხსნება, და დაადასტურეთ, რომ ადმინისტრირების სერვისი საერთოდ არ უსმენს WAN-ის მისამართზე. მხოლოდ ბმულის გარეშე დარჩენილი გვერდი წვდომის კონტროლი არ არის, და WAN-ზე შესვლის ფორმის მქონე მსმენელი კვლავ WAN-ის მსმენელია. თუ პაროლი ერთადერთია ინტერნეტსა და მარშრუტიზატორის კონსოლს შორის, დიზაინი პაროლია.

სახლის სერვისებს ერთი შეხედვა ღირს, სანამ იქ ხართ. მართვის წესების გამკაცრება ხშირად ამტვრევს სტუმრების ქსელს ან რეზოლვერს, რომელსაც ოჯახის მოწყობილობები იყენებენ, და ეს დღეების შემდეგ უკავშირო საჩივრად ვლინდება.

დაბრუნების გზის შენარჩუნება ცვლილებების დროს

მარშრუტების ან გვირაბის პარამეტრების დისტანციურად შეცვლამდე მოამზადეთ დამოუკიდებელი დაბრუნების გზა. არსებულმა სესიამ შეიძლება გადაიტანოს ის ცვლილება, რომელიც უკვე ბლოკავს ახალ კავშირებს, და ზუსტად ასე კეტავენ ადამიანები თავს გარეთ, სანამ ჯერ კიდევ მომუშავე სესიას უყურებენ. არჩევანი კონკრეტულია: დაგეგმილი გადატვირთვა ცნობილ კონფიგურაციაზე, კონსოლური ან ფიზიკური წვდომა, მეორე გვირაბი, რომელიც არ არის დამოკიდებული რედაქტირებულ პარამეტრზე, ან ზოლგარე მართვა, სადაც აპარატურა გვთავაზობს. აირჩიეთ ერთი და დაამტკიცეთ ტექნიკური მომსახურების ფანჯრამდე და არა მის დროს.

შეინახეთ ჩანაწერი მოკლე და განახლებული: რომელი ჰოსტი ამთავრებს გვირაბს, რომელი იდენტობები აღწევენ გვერდზე, რომელ მისამართზეა მიბმული სერვისი და როგორ უქმდება დაკარგული მოწყობილობა. ეს სია აღდგენის გეგმასაც ემსახურება, რადგან ამბობს, სად ცხოვრობს თითოეული დამოკიდებულება. დაკარგული დაბრუნების მარშრუტი გამოსასწორებელი მარშრუტიზაციის პრობლემაა და ის არასოდეს არის ადმინისტრირების WAN-ზე გამოქვეყნების მიზეზი.