Маршрутизатордун админ баракчасына WAN аркылуу эмес, VPN аркылуу жетиңиз

Маршрутизатордун админ баракчасы дивандан эки секундда ачылат, ал эми мейманкана бөлмөсүнөн убакыт бүтөт, VPN кардары болсо бардык убакытта туташкандыгын билдирет. Сизде чыгуу жолу бар, кайтуу жолу жок: туннель трафигиңизди интернетке алып барып, ошол жерде токтойт. Өз LAN ичиндеги түзмөккө жетүү үчүн ага маршруту бар нерседе бүтө турган сессия керек. Бул дизайн чечими, жөндөө эмес, жана калган иштин таптакыр мүмкүн экенин ушул аныктайт.

Бул айырманы жоготуу оңой, анткени бир продукт эки ишти тең аткара алат. Коммерциялык чыгуу кардары менен алыскы кирүү сервери бир портто бир протоколдо сүйлөшө алат, ал эми айырма — акыркы чекиттин артындагы дарек мейкиндигин кайсы тарап ээлей турганында.

Туннелдин кайсы тарабы LAN-ды ээлейт

Администрациялоо үчүн акыркы чекит жетүүнү каалаган тармактын ичинде болушу керек же ага уруксат берилген жолу болушу керек. Өз VPN серверин иштеткен маршрутизатор шартка жооп берет; туруктуу дареги жана LAN-га маршруту бар кичинекей, дайыма күйүп турган хост да жооп берет. Үчүнчү тарап башкарган чыгуу кызматы жооп бербейт, анткени анын акыркы чекитинин LAN-да интерфейси жок жана бирөөнүн пайда болушуна жол берген эреже да жок. Башка нерсеге тийүүдөн мурун ушул текшерүүнү бүтүрүү керек.

Микропрограмма бул айырманы сейрек белгилейт, ошондуктан протоколдун атын эмес, функциянын эмне кылаарын окуңуз. WireGuard, OpenVPN жана IKEv2 баары тең рыноктун эки тарабында кездешет: бир курулуш үй трафигин сыртка жөнөтөт, экинчиси алыскы түзмөгүңүздү кабыл алат. Клиент үчүн гана курулушту конфигурация аркылуу серверге айландыруу мүмкүн эмес, меню кандай жазылса да.

Кайтуу маршрутун түзүү

Маршрутизатордогу WireGuard серверинин 10.8.0.1/24 сыяктуу интерфейс дареги жана ноутбук үчүн теңдеш жазуусу бар. Кайсы багыттарды туннелге жөнөтүүнү кардар өзү чечет, ал эми туннелдин ички тармагын гана камтыган тизме LAN-ды көрүнбөй калтырат, сервер кандай конфигурацияланса да. Эки уч тең макул болушу керек, адатта алардын бири гана түзөтүлөт.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Биринчи буйрук сервердин көз карашы боюнча ар бир теңдештин эмне жөнөтүүгө укугу бар экенин билдирет; экинчиси LAN дареги кардарда чындыгында кайда барарын билдирет. Туннелдин интерфейсине чечилген LAN багыты — иштеген маршруттоо, ал эми физикалык шлюз аркылуу чыккан багыт эч качан жетпейт, брандмауэр эмне десе да. Кардардын уруксат берилген тизмесине LAN префиксин кошуңуз, ошондо ошол эки буйрук диагноздун ордуна текшерүү кадамына айланат.

IPsec шлюздары үчүн ошол эле секирикти strongSwan'дын өткөрүп берүү документтери сүрөттөйт, мында өткөрүп берүү жана source-NAT эрежеси туннель кардарын ички хостко туташтырат. Даректөө башкача; талап эмес.

Админ баракчасын ким ача алат

Кирүүнү көзөмөлдөө маршрутизаторго таандык, этият болуу ниетине эмес. Баракчага муктаж аутентификацияланган туннель идентификациясына же булак диапазонуна гана уруксат бериңиз, жана маршрутизатордун өзүнүн кирүү чынжырын, ошондой эле өткөрүлгөн LAN саясатын окуңуз. Зымдуу LAN-га админ баракчасына жетүүгө уруксат берген эреже туннель интерфейсине келген кардар жөнүндө эч нерсе айтпайт. Белгилүү идентификация үчүн өзгөчөлүк жазыңыз, андан кийин четке кагылуучу экинчи идентификацияны кармаңыз.

Угуучу — экинчи жарым жана ал брандмауэрдин чыгарылышында көрүнбөйт. ss -ltnp веб-сервер байланган даректи көрсөтөт, ал эми LAN дарегине гана байланган кызмат туннель дарегинде жооп бербейт, эрежелер канчалык уруксат берүүчү болсо да. Аны кайра байлоо же дарек кошуу — маршрутизатордогу конфигурация өзгөрүүсү, брандмауэр өзгөрүүсү эмес.

Аутентификация менен транспортту текшерүүнү бир өтүүдө күйүк тутуңуз. Жетүү — ишеним эмес, жана туннелдин ичиндеги ар бир түзмөк ошону менен администратор болуп калбайт. Туннелдин күбөлүгү менен маршрутизатордун эсеби — өзүнчө жашоо циклдери бар өзүнчө артыкчылыктар, ошондуктан жоголгон ноутбуктун ачкычын ар бир администратордун сырсөзүн кайра коюуга жумшабастан жокко чыгарса болот.

Сырттан сыноо, дивандан эмес

Өзүңүз көзөмөлдөбөгөн тармактан сынаңыз. Бекитилген туннель аркылуу туташыңыз, жаңы админ сессиясын ачыңыз жана баракчада чагылганын көргөн зыянсыз нерсени өзгөртүңүз. Дивандан сиз LAN иштеп жатканын далилдейсиз, бул эч качан шек туудурган эмес.

Андан кийин баш тартууларды ушундай эле этияттык менен сынаңыз. Баракчаны туннелсиз ачууга аракет кылыңыз жана ал ишке ашпай турганын ырастаңыз, администрациялоо кызматы WAN дарегинде такыр угууга тийиш эместигин ырастаңыз. Жөн гана шилтемесиз баракча — кирүүнү көзөмөлдөө эмес, ал эми кирүү формасын көрсөткөн WAN угуучусу дагы эле WAN угуучусу. Эгер интернет менен маршрутизатордун консолунун ортосунда жалгыз нерсе сырсөз болсо, дизайн — сырсөз.

Үй кызматтары сиз ошол жерде турганда бир кароого татыктуу. Башкаруу эрежелерин катаалдаштыруу көбүнчө конок тармагын же үй-бүлө түзмөктөрү колдонгон чечүүчүнү бузат, жана бул күндөрдөн кийин байланышсыз даттануу катары чыгат.

Өзгөртүүлөр учурунда кайтуу жолун сактоо

Маршруттарды же туннель жөндөөлөрүн алыстан өзгөртүүдөн мурун көз карандысыз кайтуу жолун даярдаңыз. Учурдагы сессия жаңы туташууларды буга чейин тоскон өзгөртүүгө туруштук бере алат, жана адамдар дагы иштеп жаткан сессияны көрүп өздөрүн так ушундай сыртта кулпулашат. Тандоолор так: белгилүү конфигурацияга пландалган кайра жүктөө, консолдук же физикалык кирүү, түзөтүлүп жаткан жөндөөгө көз каранды эмес экинчи туннель, же аппараттык камсыздоо сунуштаган жерде тилке тышындагы башкаруу. Бирөөнү тандап, техникалык тейлөө терезесинин алдында далилдеңиз, анын учурунда эмес.

Жазууну кыска жана актуалдуу кармаңыз: кайсы хост туннелди бүтүрөт, кайсы идентификациялар баракчага жете алат, кызмат кайсы дарекке байланат жана жоголгон түзмөк кантип жокко чыгарылат. Бул тизме калыбына келтирүү планы катары да кызмат кылат, анткени ар бир көз карандылыктын кайда жашаарын айтат. Жоголгон кайтуу маршруту — оңдоого тийиш маршруттоо маселеси, жана ал администрациялоону WAN-да жарыялоого эч качан себеп эмес.