D’Admin-Säit vum Router iwwer VPN erreechen, net iwwer de WAN

D’Admin-Säit vum Router geet an zwou Sekonnen vum Sofa op a leeft aus engem Hotelzëmmer an en Timeout, wärend de VPN-Client déi ganz Zäit gemellt verbonne bleift. Wat s de hues, ass e Wee eraus, net e Wee zréck: den Tunnel dréit däin Traffic an d’Internet an hält do op. Fir en Apparat bannenan dengem eegenen LAN z’erreechen, brauchs du eng Sëtzung, déi op eppes endet, wat eng Route dohi huet. Dat ass eng Designentscheedung, net eng Astellung, a si decidéiert, ob de Rescht vun der Aarbecht iwwerhaapt méiglech ass.

Den Ënnerscheed verléiert een einfach, well een Produkt béid Aufgaben ka maachen. En kommerziellen Ausgangsclient an en Fernzougrëffsserver kënnen déiselwecht Protokoll um selwechte Port schwätzen, an den Ënnerscheed ass, wéi eng Säit de Adressraum hannert dem Endpunkt besëtzt.

Wéi eng Säit vum Tunnel de LAN besëtzt

Fir d’Administratioun muss den Endpunkt bannent dem Netz sinn, dat s de erreeche wëlls, oder en autoriséierte Wee dohi hunn. En Router, deen säin eegene VPN-Server bedreift, entsprécht deem; och en klengen ëmmer un Host mat enger fixer Adress an enger Route an de LAN. En Ausgangsservice vun engem Drëtten entsprécht net, well säin Endpunkt keng Interface an dengem LAN huet an och keng Regel, déi eng kéint entstoe loossen. Dat ass d’Kontroll, déi fäerdeg muss sinn, ier s de eppes anescht ufanks.

Firmware etikettéiert dësen Ënnerscheed selten, also lies, wat d’Funktioun mécht, an net wéi eng Protokoll se nennt. WireGuard, OpenVPN an IKEv2 erschéngen all op béide Säite vum Maart: eng Build schéckt den Haushaltstraffic eraus, eng aner hëlt däin Fernapparat un. Eng reng Client-Build kann duerch Konfiguratioun net an e Server ëmgewandelt ginn, wéi och d’Menü formuléiert ass.

De Réckwee entstoe loossen

En WireGuard-Server um Router huet eng Interfaceadress wéi 10.8.0.1/24 an en Peer-Andrag fir den Laptop. De Client decidéiert, wéi eng Destinatiounen en an den Tunnel schéckt, an eng Lëscht mat nëmmen dem Tunnelsubnet léisst de LAN onsichtbar, wéi och de Server konfiguréiert ass. Béid Enner musse sech eens ginn, an et gëtt meeschtens nëmmen een dovun editéiert.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Den éischte Kommando mellt, wat all Peer aus dem Server senger Siicht schécke kann; den zweete mellt, wou eng LAN-Adress um Client tatsächlech higeet. Eng LAN-Destinatioun, déi op d’Tunnelinterface opléist, ass Routing, déi funktionéiert, an déi, déi duerch de physikale Gateway erausgeet, kënnt ni un, wat d’Firewall och seet. Füüg de LAN-Prefix an d’erlabe Lëscht vum Client derbäi, an déi selwecht zwou Kommandoe ginn aus enger Diagnos e Verifikatiounsschrëtt.

Déiselwecht Sprong fir IPsec-Gateways beschreift d’strongSwan-Dokumentatioun iwwer d’Weiderleeden, wou d’Weiderleeden an eng source-NAT-Reeg e Tunnelclient mat engem internen Host verbënnt. D’Adresséierung ënnerscheet sech; d’Ufuerderung net.

Wien d’Admin-Säit opmaache kann

Zougrëffskontroll gehéiert op de Router, net an d’Absicht, virsiichteg ze sinn. Erlaab nëmmen der authentifizéierter Tunnelidentitéit oder dem Quellberäich, deen d’Säit brauch, an lies dem Router seng eegen Input-Kette souwéi all weidergeleet LAN-Politik. Eng Regel, déi dem ugedra Tent LAN erlaabt, d’Admin-Säit z’erreechen, seet näischt iwwer e Client, deen iwwer d’Tunnelinterface kënnt. Schréif d’Ausnam fir eng bestëmmten Identitéit, a behal dann eng zweet Identitéit, déi refuséiert misst ginn.

De Lauschterer ass déi aner Hallschent an ass an der Firewall-Ausgab onsichtbar. ss -ltnp weist d’Adress, un déi de Webserver gebonne ass, an en Service, deen nëmmen un d’LAN-Adress gebonne ass, äntwert net op der Tunneladress, wéi permisiv d’Regele och sinn. En nei binden oder eng Adress derbäisetzen ass eng Konfiguratiounsännerung um Router, net eng Firewallännerung.

Hal d’Authentifikatioun an d’Transportvalidéierung am selwechten Duerchgang ugschalt. Erreechbaren ass net vertraut, an net all Apparat bannent engem Tunnel gëtt doduerch Administrateur. D’Tunnel-Accèsdaten an de Routerkonto sinn getrennte Privilegien mat getrennte Liewenszyklen, sou datt de Schlëssel vun engem verluerenen Laptop ka widderruff ginn, ouni d’Passwuert vun all Administrateur zréckzesetzen.

Teste vun dobaussen, net vum Sofa

Test aus engem Netz, dat s de net kontrolléiers. Verbënnt dech iwwer den ugehollenen Tunnel, maach eng nei Admin-Sëtzung op a ännere eppes harmlooses, wat s de op der Säit gesäis reflektéiert. Vum Sofa aus bewéis s de, datt de LAN funktionéiert, wat ni a Fro gestallt gouf.

Test dann d’Refusen mat der selwechter Suergfalt. Probéier d’Säit ouni den Tunnel a bestäteg, datt et feelt, a bestäteg, datt den Administratiounsservice iwwerhaapt net op der WAN-Adress lauschtert. Eng Säit, déi just net verlinkt ass, ass keng Zougrëffskontroll, an en WAN-Lauschterer mat engem Loginformular ass ëmmer nach en WAN-Lauschterer. Wann e Passwuert dat eenzegt tëschent dem Internet an der Routerkonsole ass, dann ass den Design e Passwuert.

Haushaltsservicer verdéngen e Bléck, wärend s de do bass. D’Verschäerfe vu Verwaltungsregele brécht dacks de Gäschtenetz oder den Resolver, deen d’Familljengeräter benotzen, an dat kënnt Deeg méi spéit als onverbonne Reklamatioun eraus.

E Wee zréck behalen, wärend s de Saachen änderst

Ier s de Ruten oder Tunnelsastellungen aus der Ferne änderst, bereet en onofhängege Wee zréck vir. Eng bestoend Sëtzung kann d’Ännerung iwwerliewen, déi schonn nei Verbindungen blockéiert, an genau sou spären d’Leit sech aus, während se enger Sëtzung noguken, déi nach funktionéiert. D’Optiounen si konkreet: en geplangte Neistart an eng bekannt Konfiguratioun, Konsol- oder physikalen Zougrëff, en zweeten Tunnel, deen net vun der Astellung ofhänkt, déi editéiert gëtt, oder Out-of-Band-Verwaltung, wou d’Hardware se ubitt. Wiel eng a bewéis se virum Maintenance-Fënster, net wärend deem.

Hal d’Opzeechnung kuerz an aktuell: wéi en Host den Tunnel beendegt, wéi eng Identitéiten d’Säit erreechen, un wéi eng Adress de Service sech bënnt, a wéi en verluerenen Apparat widderruff gëtt. Dee Lëscht déngt och als Rettungsplang, well se seet, wou all Ofhängegkeet lieft. En feelende Réckwee ass e Routingproblem, dee reparéiert muss ginn, an et ass ni e Grond, d’Administratioun um WAN ze publizéieren.