Pasiekti maršrutizatoriaus administravimo puslapį per VPN, o ne per WAN

Maršrutizatoriaus administravimo puslapis nuo sofos atsidaro per dvi sekundes, o iš viešbučio kambario pasibaigia laikas, nors VPN klientas visą laiką praneša esąs prisijungęs. Tai, ką turite, yra kelias lauk, o ne kelias atgal: tunelis nuneša jūsų srautą į internetą ir ten sustoja. Norint pasiekti įrenginį savo LAN viduje, reikia sesijos, kuri baigiasi kažkame, turinčiame kelią ten. Tai dizaino sprendimas, o ne nustatymas, ir jis nulemia, ar likęs darbas apskritai įmanomas.

Šį skirtumą lengva pamesti, nes vienas produktas gali atlikti abu darbus. Komercinis išvesties klientas ir nuotolinės prieigos serveris gali kalbėti tuo pačiu protokolu tame pačiame prievade, o skirtumas yra tai, kuri pusė valdo adresų erdvę už galinio taško.

Kuri tunelio pusė valdo LAN

Administravimui galinis taškas turi būti tinkle, kurį norite pasiekti, arba turėti leistiną kelią į jį. Maršrutizatorius, paleidęs savo VPN serverį, atitinka sąlygą; taip pat mažas nuolat įjungtas hostas su fiksuotu adresu ir maršrutu į LAN. Trečiosios šalies valdoma išvesties paslauga neatitinka, nes jos galinis taškas neturi sąsajos jūsų LAN tinkle ir nėra taisyklės, kuri leistų jai atsirasti. Tai patikra, kurią reikia užbaigti prieš ką nors kitą liesdami.

Programinė aparatinė įranga retai pažymi šį skirtumą, todėl skaitykite, ką daro funkcija, o ne kokį protokolą ji įvardija. WireGuard, OpenVPN ir IKEv2 visi pasitaiko abiejose rinkos pusėse: viena versija siunčia namų srautą lauk, kita priima jūsų nuotolinį įrenginį. Tik kliento versijos konfigūracija negalima paversti serveriu, kad ir kaip būtų suformuluotas meniu.

Sukurti grįžimo maršrutą

WireGuard serveris maršrutizatoriuje turi sąsajos adresą, pavyzdžiui, 10.8.0.1/24, ir peer įrašą nešiojamajam kompiuteriui. Klientas sprendžia, kuriuos tikslus siųsti į tunelį, o sąrašas, kuriame yra tik tunelio potinklis, palieka LAN nematomą, kad ir kaip būtų sukonfigūruotas serveris. Abu galai turi sutarti, o dažniausiai redaguojamas tik vienas jų.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Pirmoji komanda praneša, ką kiekvienas peer gali siųsti serverio požiūriu; antroji praneša, kur LAN adresas iš tikrųjų nueitų kliente. LAN tikslas, kuris išsprendžiamas į tunelio sąsają, yra veikiantis maršrutizavimas, o tas, kuris išeina per fizinį tinklų sietuvą, niekada neatvyks, ką bebūtų sakoma ugniasienėje. Pridėkite LAN priešdėlį prie leidžiamų kliento sąrašo ir tos pačios dvi komandos taps patikros žingsniu, o ne diagnostika.

Tą patį šuolį IPsec tinklų sietuvams aprašo strongSwan peradresavimo dokumentacija, kur peradresavimas ir source-NAT taisyklė sujungia tunelio klientą su vidiniu hostu. Adresavimas skiriasi; reikalavimas ne.

Kas gali atidaryti administravimo puslapį

Prieigos kontrolė priklauso maršrutizatoriui, o ne ketinimui būti atsargiam. Leiskite tik autentifikuotai tunelio tapatybei arba šaltinio diapazonui, kuriam reikia puslapio, ir skaitykite paties maršrutizatoriaus įvesties grandinę bei bet kurią persiųstą LAN politiką. Taisyklė, leidžianti laidiniam LAN pasiekti administravimo puslapį, nieko nesako apie klientą, ateinantį per tunelio sąsają. Parašykite išimtį konkrečiai tapatybei, tada laikykite antrą tapatybę, kuriai turi būti atsisakyta.

Klausytojas yra kita pusė ir jis nematomas ugniasienės išvestyje. ss -ltnp rodo adresą, prie kurio pririštas žiniatinklio serveris, o paslauga, pririšta tik prie LAN adreso, neatsakys tunelio adresu, kad ir kokios leidžiančios būtų taisyklės. Perrišti ją arba pridėti adresą yra konfigūracijos pakeitimas maršrutizatoriuje, o ne ugniasienės pakeitimas.

Laikykite autentifikavimą ir transporto patikrą įjungtus tame pačiame praėjime. Pasiekiamumas nėra pasitikėjimas, ir kiekvienas įrenginys tunelio viduje netampa administratoriumi. Tunelio kredencialai ir maršrutizatoriaus paskyra yra atskiros privilegijos su atskirais gyvavimo ciklais, todėl pamesto nešiojamojo kompiuterio raktą galima atšaukti nenustatant iš naujo kiekvieno administratoriaus slaptažodžio.

Bandyti iš išorės, o ne nuo sofos

Bandykite iš tinklo, kurio nekontroliuojate. Prisijunkite per patvirtintą tunelį, atidarykite naują administravimo sesiją ir pakeiskite ką nors nekenksmingo, ką matote atsispindint puslapyje. Nuo sofos jūs įrodote, kad LAN veikia, o tai niekada nebuvo abejojama.

Tada tokiu pat kruopštumu patikrinkite atsisakymus. Pabandykite atidaryti puslapį be tunelio ir įsitikinkite, kad nepavyksta, ir įsitikinkite, kad administravimo paslauga visai neklauso WAN adresu. Puslapis, kuris tik nėra susietas, nėra prieigos kontrolė, o WAN klausytojas, rodantis prisijungimo formą, vis dar yra WAN klausytojas. Jei slaptažodis yra vienintelis dalykas tarp interneto ir maršrutizatoriaus konsolės, dizainas yra slaptažodis.

Namų paslaugos nusipelno žvilgsnio, kol ten esate. Valdymo taisyklių griežtinimas dažnai sugadina svečių tinklą arba sprendėją, kurį naudoja šeimos įrenginiai, ir tai išryškėja po kelių dienų kaip nesusijęs skundas.

Išsaugoti kelią atgal, kol ką nors keičiate

Prieš nuotoliniu būdu keisdami maršrutus ar tunelio nustatymus, paruoškite nepriklausomą kelią atgal. Esama sesija gali išgyventi pakeitimą, kuris jau blokuoja naujus ryšius, ir būtent taip žmonės užsirakina lauke, stebėdami vis dar veikiančią sesiją. Pasirinkimai konkretūs: suplanuotas paleidimas iš naujo į žinomą konfigūraciją, konsolės arba fizinė prieiga, antras tunelis, nepriklausantis nuo redaguojamo nustatymo, arba už juostos ribų valdymas, kur aparatinė įranga tai siūlo. Pasirinkite vieną ir įrodykite jį prieš techninės priežiūros langą, o ne jo metu.

Laikykite įrašą trumpą ir aktualų: kuris hostas užbaigia tunelį, kurios tapatybės gali pasiekti puslapį, prie kurio adreso paslauga prisiriša ir kaip atšaukiamas pamestas įrenginys. Šis sąrašas taip pat tarnauja kaip atkūrimo planas, nes nurodo, kur gyvena kiekviena priklausomybė. Trūkstamas grįžimo maršrutas yra taisytina maršrutizavimo problema, ir tai niekada nėra priežastis skelbti administravimą WAN tinkle.