Sasniegt maršrutētāja administrēšanas lapu pa VPN, nevis pa WAN

Maršrutētāja administrēšanas lapa no dīvāna atveras divās sekundēs, bet no viesnīcas istabas beidzas taimauts, kamēr VPN klients visu laiku ziņo, ka ir savienots. Jums ir ceļš uz āru, nevis ceļš atpakaļ: tunelis aizved jūsu datu plūsmu uz internetu un tur apstājas. Lai sasniegtu ierīci savā LAN iekšienē, vajadzīga sesija, kas beidzas kaut kur, kam ir ceļš uz to. Tas ir dizaina lēmums, nevis iestatījums, un tas nosaka, vai pārējais darbs vispār ir iespējams.

Šo atšķirību ir viegli pazaudēt, jo viens produkts var veikt abus darbus. Komerciāls izejas klients un attālinātās piekļuves serveris var runāt vienu un to pašu protokolu vienā un tajā pašā portā, un atšķirība ir tajā, kura puse pārvalda adrešu telpu aiz galapunkta.

Kura tuneļa puse pārvalda LAN

Administrēšanai galapunktam jāatrodas tīklā, kuru vēlaties sasniegt, vai jābūt autorizētam ceļam uz to. Maršrutētājs, kas darbojas ar savu VPN serveri, atbilst nosacījumam; arī mazs pastāvīgi ieslēgts resursdators ar fiksētu adresi un ceļu uz LAN. Trešās puses pārvaldīts izejas pakalpojums neatbilst, jo tā galapunktam nav saskarnes jūsu LAN un nav noteikuma, kas ļautu tai parādīties. Šī ir pārbaude, kas jāpabeidz pirms jebko cita aizskaršanas.

Programmaparatūra reti apzīmē šo atšķirību, tāpēc lasiet, ko dara funkcija, nevis kādu protokolu tā nosauc. WireGuard, OpenVPN un IKEv2 visi parādās abās tirgus pusēs: viens būvējums sūta mājsaimniecības datu plūsmu uz āru, cits pieņem jūsu attālināto ierīci. Tikai klienta būvējumu nevar pārvērst serverī ar konfigurāciju, lai kā arī būtu formulēta izvēlne.

Radīt atgriešanās ceļu

WireGuard serverim maršrutētājā ir saskarnes adrese, piemēram, 10.8.0.1/24, un vienaudža ieraksts klēpjdatoram. Klients izlemj, kurus galamērķus sūtīt tunelī, un saraksts, kurā ir tikai tuneļa apakštīkls, atstāj LAN neredzamu, lai kā arī serveris būtu konfigurēts. Abiem galiem jāvienojas, un parasti tiek rediģēts tikai viens no tiem.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Pirmā komanda ziņo, ko katrs vienaudzis drīkst sūtīt no servera skatpunkta; otrā ziņo, kur LAN adrese klientā patiešām aizietu. LAN galamērķis, kas atrisinās uz tuneļa saskarni, ir maršrutēšana, kas darbojas, un tas, kas iziet caur fizisko vārteju, nekad neienāks, lai ko arī teiktu ugunsmūris. Pievienojiet LAN prefiksu klienta atļauto sarakstam, un tās pašas divas komandas kļūst par pārbaudes soli, nevis diagnostiku.

To pašu lēcienu IPsec vārtejām apraksta strongSwan pārsūtīšanas dokumentācija, kur pārsūtīšana un source-NAT noteikums savieno tuneļa klientu ar iekšēju resursdatoru. Adresācija atšķiras; prasība ne.

Kas drīkst atvērt administrēšanas lapu

Piekļuves kontrole pieder maršrutētājam, nevis nodomam būt uzmanīgam. Atļaujiet tikai autentificētajai tuneļa identitātei vai avota diapazonam, kuram lapa nepieciešama, un lasiet paša maršrutētāja ievades ķēdi, kā arī jebkuru pārsūtīto LAN politiku. Noteikums, kas ļauj vadu LAN sasniegt administrēšanas lapu, neko nepasaka par klientu, kas ierodas uz tuneļa saskarnes. Uzrakstiet izņēmumu konkrētai identitātei, pēc tam paturiet otru identitāti, kurai jābūt atteiktai.

Klausītājs ir otra puse, un tas ugunsmūra izvadē nav redzams. ss -ltnp parāda adresi, kurai pievienots tīmekļa serveris, un pakalpojums, kas piesaistīts tikai LAN adresei, neatbildēs uz tuneļa adresi, lai cik atļaujoši būtu noteikumi. Tā pārsiešana vai adreses pievienošana ir konfigurācijas izmaiņa maršrutētājā, nevis ugunsmūra izmaiņa.

Turiet autentifikāciju un transporta validāciju ieslēgtu tajā pašā piegājienā. Sasniedzamība nav uzticēšanās, un katra ierīce tuneļa iekšienē ar to nekļūst par administratoru. Tuneļa akreditācijas dati un maršrutētāja konts ir atsevišķas privilēģijas ar atsevišķiem dzīves cikliem, tāpēc pazaudēta klēpjdatora atslēgu var atsaukt, nenomainot katra administratora paroli.

Pārbaudīt no ārpuses, nevis no dīvāna

Pārbaudiet no tīkla, kuru nekontrolējat. Pieslēdzieties caur apstiprināto tuneli, atveriet jaunu administrēšanas sesiju un nomainiet kaut ko nekaitīgu, ko redzat atspoguļojamies lapā. No dīvāna jūs pierādāt, ka LAN strādā, kas nekad nav bijis šaubās.

Pēc tam ar tādu pašu rūpību pārbaudiet atteikumus. Mēģiniet atvērt lapu bez tuneļa un apstipriniet, ka tas neizdodas, un apstipriniet, ka administrēšanas pakalpojums vispār neklausās uz WAN adreses. Lapa, kas vienkārši nav saistīta, nav piekļuves kontrole, un WAN klausītājs, kas rāda pieteikšanās veidlapu, joprojām ir WAN klausītājs. Ja parole ir vienīgais starp internetu un maršrutētāja konsoli, dizains ir parole.

Mājsaimniecības pakalpojumi ir pelnījuši skatienu, kamēr esat tur. Pārvaldības noteikumu stingrāka padarīšana bieži salauž viesu tīklu vai atrisinātāju, ko izmanto ģimenes ierīces, un tas parādās dienas vēlāk kā nesaistīta sūdzība.

Saglabāt ceļu atpakaļ, kamēr kaut ko maināt

Pirms mainīt maršrutus vai tuneļa iestatījumus attālināti, sagatavojiet neatkarīgu ceļu atpakaļ. Esošā sesija var pārdzīvot izmaiņas, kas jau bloķē jaunus savienojumus, un tieši tā cilvēki aizslēdz sevi ārpusē, vērojot sesiju, kas vēl darbojas. Iespējas ir konkrētas: ieplānota pārstartēšana zināmā konfigurācijā, konsoles vai fiziska piekļuve, otrs tunelis, kas nav atkarīgs no rediģējamā iestatījuma, vai ārpusjoslas pārvaldība, kur aparatūra to piedāvā. Izvēlieties vienu un pierādiet to pirms apkopes loga, nevis tā laikā.

Turiet ierakstu īsu un aktuālu: kurš resursdators pabeidz tuneli, kuras identitātes var sasniegt lapu, kurai adresei pakalpojums piesaistās un kā tiek atsaukta pazaudēta ierīce. Šis saraksts kalpo arī kā atkopšanas plāns, jo tas saka, kur dzīvo katra atkarība. Trūkstošs atgriešanās ceļš ir labojama maršrutēšanas problēma, un tas nekad nav iemesls publicēt administrēšanu WAN.