Маршрутизатордың әкімші бетіне WAN арқылы емес, VPN арқылы жетіңіз

Маршрутизатордың әкімші беті диваннан екі секундта ашылады, қонақүй бөлмесінен күту уақыты бітеді, ал VPN клиенті бүкіл уақыт бойы қосылғанын хабарлайды. Сізде шығу жолы бар, қайту жолы жоқ: туннель трафикті интернетке апарады да, сонда тоқтайды. Өз LAN ішіндегі құрылғыға жету үшін оған маршруты бар нәрсемен аяқталатын сессия керек. Бұл дизайн шешімі, параметр емес, және қалған жұмыстың мүлдем мүмкін екенін осы анықтайды.

Бұл айырмашылықты жоғалту оңай, өйткені бір өнім екі жұмысты да атқара алады. Коммерциялық шығу клиенті мен қашықтан қатынау сервері бір портта бір протоколмен сөйлесе алады, ал айырмашылық — соңғы нүктенің артындағы адрестік кеңістікті қай тарап иемденетінінде.

Туннельдің қай тарабы LAN-ды иемденеді

Әкімшілік үшін соңғы нүкте жеткіңіз келетін желінің ішінде болуы керек немесе оған рұқсат етілген жолы болуы керек. Өз VPN серверін іске қосатын маршрутизатор талапқа сай; тұрақты мекенжайы және LAN-ға маршруты бар шағын, үнемі қосулы хост та сай. Үшінші тарап басқаратын шығу қызметі сай емес, өйткені оның соңғы нүктесінің LAN-да интерфейсі жоқ және біреуінің пайда болуына мүмкіндік беретін ереже де жоқ. Басқа нәрсеге қол тигізбес бұрын осы тексеруді аяқтау керек.

Микробағдарлама бұл айырмашылықты сирек белгілейді, сондықтан протокол атауын емес, функцияның не істейтінін оқыңыз. WireGuard, OpenVPN және IKEv2 нарықтың екі жағында да кездеседі: бір жинақ үй трафигін сыртқа жібереді, екіншісі қашықтағы құрылғыңызды қабылдайды. Тек клиентке арналған жинақты конфигурация арқылы серверге айналдыру мүмкін емес, мәзір қалай жазылса да.

Қайту маршрутын жасау

Маршрутизатордағы WireGuard серверінің 10.8.0.1/24 сияқты интерфейс мекенжайы және ноутбук үшін теңшелес жазбасы бар. Клиент қандай межелерді туннельге жіберетінін өзі шешеді, ал тек туннель ішкі желісін қамтитын тізім LAN-ды көрінбейтін етіп қалдырады, сервер қалай конфигурацияланса да. Екі ұш та келісуі керек, әдетте олардың тек біреуі өңделеді.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Бірінші команда әрбір теңшелестің сервер тұрғысынан не жіберуге рұқсаты бар екенін хабарлайды; екіншісі LAN мекенжайы клиентте шын мәнінде қайда баратынын хабарлайды. Туннель интерфейсіне шешілетін LAN межесі — жұмыс істейтін маршруттау, ал физикалық шлюз арқылы шығатыны ешқашан жетпейді, брандмауэр не десе де. Клиенттің рұқсат етілген тізіміне LAN префиксін қосыңыз, сонда сол екі команда диагноздан тексеру қадамына айналады.

IPsec шлюздері үшін сол секірісті strongSwan-ның қайта жіберу құжаттамасы сипаттайды, онда қайта жіберу және source-NAT ережесі туннель клиентін ішкі хостқа қосады. Мекенжайдау өзгеше; талап емес.

Әкімші бетін кім аша алады

Қатынауды бақылау маршрутизаторға тиесілі, абай болу ниетіне емес. Бетке қажет аутентификацияланған туннель сәйкестігіне немесе көз көзінің диапазонына ғана рұқсат беріңіз, және маршрутизатордың өз кіріс тізбегін, сондай-ақ кез келген қайта жіберілген LAN саясатын оқыңыз. Сымды LAN-ға әкімші бетіне жетуге рұқсат беретін ереже туннель интерфейсіне келетін клиент туралы ештеңе айтпайды. Нақты сәйкестік үшін ерекшелікті жазыңыз, содан кейін бас тартылуы тиіс екінші сәйкестікті ұстаңыз.

Тыңдаушы — екінші жарты және ол брандмауэр шығысында көрінбейді. ss -ltnp веб-сервер байланған мекенжайды көрсетеді, ал тек LAN мекенжайына байланған қызмет туннель мекенжайында жауап бермейді, ережелер қаншалықты рұқсат етуші болса да. Оны қайта байлау немесе мекенжай қосу — маршрутизатордағы конфигурация өзгерісі, брандмауэр өзгерісі емес.

Аутентификация мен тасымалдауды тексеруді бір өтуде қосулы ұстаңыз. Жету — сенім емес, және туннель ішіндегі әрбір құрылғы осымен әкімші бола қоймайды. Туннель тіркелгі деректері мен маршрутизатор тіркелгісі — жеке өмірлік циклдері бар жеке артықшылықтар, сондықтан жоғалған ноутбуктің кілтін әр әкімшінің құпиясөзін қайта орнатпай-ақ кері қайтаруға болады.

Сырттан сынау, диваннан емес

Өзіңіз бақыламайтын желіден сынаңыз. Бекітілген туннель арқылы қосылыңыз, жаңа әкімші сессиясын ашыңыз және бетте көрінетін зиянсыз бірдеңені өзгертіңіз. Диваннан сіз LAN жұмыс істейтінін дәлелдейсіз, бұл ешқашан күмән тудырмаған.

Содан кейін бас тартуларды дәл сондай ұқыптылықпен сынаңыз. Бетті туннельсіз ашуға тырысыңыз және оның сәтсіз болатынын растаңыз, әкімшілік қызметтің WAN мекенжайында мүлдем тыңдамайтынын растаңыз. Тек сілтемесіз қалған бет — қатынауды бақылау емес, ал кіру нысанын көрсететін WAN тыңдаушысы әлі де WAN тыңдаушысы. Егер интернет пен маршрутизатор консолінің арасындағы жалғыз нәрсе құпиясөз болса, дизайн — құпиясөз.

Үй қызметтері сіз сонда болғанда бір қарауға лайық. Басқару ережелерін қатаңдату жиі қонақ желісін немесе отбасы құрылғылары қолданатын шешушіні бұзады, және бұл күндерден кейін байланыссыз шағым ретінде шығады.

Өзгерістер жасағанда қайту жолын сақтау

Маршруттарды немесе туннель параметрлерін қашықтан өзгерту алдында тәуелсіз қайту жолын дайындаңыз. Қолданыстағы сессия жаңа қосылымдарды қазірдің өзінде бөгейтін өзгеріске төтеп бере алады, және адамдар әлі жұмыс істеп тұрған сессияны көріп өздерін дәл осылай сыртта құлыптайды. Нұсқалар нақты: белгілі конфигурацияға жоспарлы қайта жүктеу, консольдік немесе физикалық қатынау, өңделіп жатқан параметрге тәуелді емес екінші туннель немесе аппараттық құрал ұсынған жердегі жолақтан тыс басқару. Біреуін таңдап, оны техникалық қызмет көрсету терезесінің алдында дәлелдеңіз, оның барысында емес.

Жазбаны қысқа және өзекті ұстаңыз: қай хост туннельді аяқтайды, қай сәйкестіктер бетке жете алады, қызмет қай мекенжайға байланады және жоғалған құрылғы қалай кері қайтарылады. Бұл тізім қалпына келтіру жоспары ретінде де қызмет етеді, өйткені әр тәуелділіктің қайда тұратынын айтады. Жоғалған қайту маршруты — түзетуге тиіс маршруттау мәселесі, және ол әкімшілікті WAN-да жариялауға ешқашан себеп емес.