До административната страница на рутерот преку VPN, а не преку WAN

Административната страница на рутерот се отвора за две секунди од софата и истекува од хотелска соба, додека VPN клиентот цело време известува дека е поврзан. Она што го имате е пат нанадвор, а не пат назад: тунелот го носи вашиот сообраќај до интернет и застанува таму. За да достигнете уред во вашиот сопствен LAN, потребна е сесија што завршува на нешто со рута до него. Тоа е дизајнерска одлука, а не поставка, и таа одредува дали остатокот од работата е воопшто можен.

Оваа разлика лесно се губи бидејќи еден производ може да ги врши двете работи. Комерцијален излезен клиент и сервер за далечински пристап можат да зборуваат ист протокол на исти порт, а разликата е која страна го поседува адресниот простор зад крајната точка.

Која страна од тунелот го поседува LAN

За администрација, крајната точка мора да биде во мрежата што сакате да ја достигнете или да има овластен пат до неа. Рутер што работи сопствен VPN сервер го исполнува условот; исто и мал постојано вклучен домаќин со фиксна адреса и рута до LAN. Излезна услуга управувана од трета страна не го исполнува, бидејќи нејзината крајна точка нема интерфејс на вашиот LAN и нема правило што би дозволило таков да се појави. Ова е проверката што треба да се заврши пред да се допре нешто друго.

Фирмверот ретко ја означува таа разлика, затоа читајте што прави функцијата, а не кој протокол го именува. WireGuard, OpenVPN и IKEv2 сите се појавуваат на двете страни на пазарот: една верзија испраќа домашниот сообраќај нанадвор, друга го прифаќа вашиот далечински уред. Верзија само за клиент не може да се претвори во сервер преку конфигурација, како и да е формулирано менито.

Создавање на повратната рута

WireGuard сервер на рутерот има интерфејсна адреса како 10.8.0.1/24 и запис за партнер за преносниот сметач. Клиентот одлучува кои одредишта ќе ги испрати во тунелот, а списокот што ја содржи само подмрежата на тунелот го остава LAN невидлив, како и да е конфигуриран серверот. Двата краја мора да се согласат, а обично се уредува само еден од нив.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Првата команда известува што секој партнер смее да испрати од гледна точка на серверот; втората известува каде LAN адресата навистина би одела на клиентот. LAN одредиште што се разрешува на интерфејсот на тунелот е рутирање што работи, а тоа што излегува низ физичката порта никогаш нема да пристигне, што и да каже огнениот ѕид. Додајте го LAN префиксот во дозволениот список на клиентот и истите две команди стануваат чекор за проверка наместо дијагноза.

Истиот скок за IPsec порти го опишува документацијата на strongSwan за препраќање, каде препраќањето и правилото source-NAT го поврзуваат клиентот на тунелот со внатрешен домаќин. Адресирањето се разликува; барањето не.

Кој смее да ја отвори административната страница

Контролата на пристап припаѓа на рутерот, а не на намерата да се биде внимателен. Дозволете само на автентифицираниот идентитет на тунелот или опсегот на извор што ѝ треба на страницата, и читајте го сопствениот влезен ланец на рутерот како и секоја препратена LAN политика. Правилото што на жичениот LAN му дозволува да ја достигне административната страница не кажува ништо за клиент што пристигнува на интерфејсот на тунелот. Напишете исклучок за одреден идентитет, потоа задржете втор идентитет на кој треба да му се одбие.

Слушачот е другата половина и е невидлив во излезот на огнениот ѕид. ss -ltnp ја покажува адресата на која е врзан веб-серверот, а услуга врзана само за LAN адресата нема да одговори на адресата на тунелот, колку и да се дозволувачки правилата. Негово преврзување или додавање адреса е промена на конфигурацијата на рутерот, а не промена на огнениот ѕид.

Држете ја автентикацијата и проверката на транспортот вклучени во истиот премин. Достапноста не е доверба, и секој уред внатре во тунел не станува со тоа администратор. Акредитивот на тунелот и сметката на рутерот се одделни привилегии со одделни животни циклуси, па клучот на изгубен преносен сметач може да се отповика без ресетирање на лозинката на секој администратор.

Тестирање однадвор, не од софата

Тестирајте од мрежа што не ја контролирате. Поврзете се преку одобрениот тунел, отворете нова административна сесија и сменете нешто безопасно што го гледате одразено на страницата. Од софата докажувате дека LAN работи, што никогаш не било сомнеж.

Потоа тестирајте ги одбивањата со истото внимание. Обидете се да ја отворите страницата без тунелот и потврдете дека не успева, и потврдете дека административната услуга воопшто не слуша на WAN адресата. Страница што само не е поврзана со врска не е контрола на пристап, а слушач на WAN што прикажува формулар за најава сеуште е слушач на WAN. Ако лозинката е единственото нешто меѓу интернетот и конзолата на рутерот, дизајнот е лозинка.

Домашните услуги заслужуваат поглед додека сте таму. Заострувањето на правилата за управување често ја крши гостинската мрежа или разрешувачот што го користат семејните уреди, и тоа се појавува денови подоцна како неповрзана жалба.

Зачувување на пат назад додека менувате работи

Пред да менувате рути или поставки на тунелот од далечина, подгответе независен пат назад. Постоечката сесија може да ја преживее промената што веќе блокира нови врски, и токму така луѓето се заклучуваат надвор додека гледаат сесија што сѐ уште работи. Опциите се конкретни: закажано рестартирање во позната конфигурација, конзолен или физички пристап, втор тунел што не зависи од поставката што се уредува, или управување надвор од опсегот каде хардверот го нуди. Изберете една и докажете ја пред прозорецот за одржување, а не за време на него.

Држете го записот краток и ажурен: кој домаќин го завршува тунелот, кои идентитети можат да ја достигнат страницата, на која адреса се врзува услугата и како се отповикува изгубен уред. Таа листа служи и како план за обнова, бидејќи кажува каде живее секоја зависност. Недостапната повратна рута е проблем со рутирањето што треба да се поправи и никогаш не е причина да се објави администрација на WAN.