റൗട്ടറിന്റെ അഡ്മിൻ പേജിലേക്ക് WAN വഴിയല്ല, VPN വഴി എത്തുക

റൗട്ടറിന്റെ അഡ്മിൻ പേജ് സോഫയിൽ നിന്ന് രണ്ട് സെക്കൻഡിൽ തുറക്കുന്നു, ഹോട്ടൽ മുറിയിൽ നിന്ന് സമയം കഴിയുന്നു, അതേസമയം VPN ക്ലയന്റ് എപ്പോഴും കണക്ട് ചെയ്തിരിക്കുന്നു എന്ന് അറിയിക്കുന്നു. നിങ്ങൾക്കുള്ളത് പുറത്തേക്കുള്ള വഴിയാണ്, തിരികെയുള്ള വഴിയല്ല: ടണൽ നിങ്ങളുടെ ട്രാഫിക് ഇന്റർനെറ്റിലേക്ക് കൊണ്ടുപോയി അവിടെ നിൽക്കുന്നു. നിങ്ങളുടെ സ്വന്തം LAN-നുള്ളിലെ ഒരു ഉപകരണത്തിലെത്താൻ അങ്ങോട്ട് റൂട്ടുള്ള എന്തിലെങ്കിലും അവസാനിക്കുന്ന സെഷൻ വേണം. ഇത് ഒരു ഡിസൈൻ തീരുമാനമാണ്, ക്രമീകരണമല്ല, ബാക്കി ജോലി ഒട്ടും സാധ്യമാണോ എന്ന് ഇത് നിർണ്ണയിക്കുന്നു.

ഈ വ്യത്യാസം നഷ്ടപ്പെടാൻ എളുപ്പമാണ്, കാരണം ഒരു ഉൽപ്പന്നത്തിന് രണ്ട് ജോലികളും ചെയ്യാം. വാണിജ്യ എക്സിറ്റ് ക്ലയന്റിനും റിമോട്ട് ആക്സസ് സെർവറിനും ഒരേ പോർട്ടിൽ ഒരേ പ്രോട്ടോക്കോൾ സംസാരിക്കാം, വ്യത്യാസം എൻഡ്പോയിന്റിന് പിന്നിലെ വിലാസ സ്ഥലം ഏത് വശത്തിനാണ് എന്നതാണ്.

ടണലിന്റെ ഏത് വശത്തിനാണ് LAN ഉള്ളത്

അഡ്മിനിസ്ട്രേഷനായി എൻഡ്പോയിന്റ് നിങ്ങൾ എത്താൻ ആഗ്രഹിക്കുന്ന നെറ്റ്വർക്കിനുള്ളിലായിരിക്കണം, അല്ലെങ്കിൽ അങ്ങോട്ട് അധികാരപ്പെടുത്തിയ വഴി ഉണ്ടായിരിക്കണം. സ്വന്തം VPN സെർവർ പ്രവർത്തിപ്പിക്കുന്ന റൗട്ടർ യോഗ്യമാണ്; സ്ഥിര വിലാസവും LAN-ലേക്ക് റൂട്ടും ഉള്ള ചെറിയ എപ്പോഴും ഓൺ ആയ ഹോസ്റ്റും യോഗ്യമാണ്. മൂന്നാം കക്ഷി നടത്തുന്ന എക്സിറ്റ് സേവനം യോഗ്യമല്ല, കാരണം അതിന്റെ എൻഡ്പോയിന്റിന് നിങ്ങളുടെ LAN-ൽ ഇന്റർഫേസ് ഇല്ല, ഒന്ന് പ്രത്യക്ഷപ്പെടാൻ അനുവദിക്കുന്ന നിയമവുമില്ല. മറ്റെന്തെങ്കിലും തൊടുന്നതിന് മുമ്പ് ഈ പരിശോധന പൂർത്തിയാക്കണം.

ഫേംവെയർ ഈ വ്യത്യാസം അപൂർവ്വമായി ലേബൽ ചെയ്യുന്നു, അതിനാൽ പ്രോട്ടോക്കോളിന്റെ പേരല്ല, സവിശേഷത എന്ത് ചെയ്യുന്നു എന്ന് വായിക്കുക. WireGuard, OpenVPN എന്നിവയും IKEv2-ഉം വിപണിയുടെ ഇരുവശത്തും കാണപ്പെടുന്നു: ഒരു ബിൽഡ് വീട്ടിലെ ട്രാഫിക് പുറത്തേക്ക് അയക്കുന്നു, മറ്റൊന്ന് നിങ്ങളുടെ ദൂരെയുള്ള ഉപകരണം സ്വീകരിക്കുന്നു. ക്ലയന്റ്-മാത്ര ബിൽഡിനെ കോൺഫിഗറേഷൻ കൊണ്ട് സെർവറാക്കാൻ കഴിയില്ല, മെനു എങ്ങനെ എഴുതിയാലും.

തിരികെയുള്ള വഴി ഉണ്ടാക്കുക

റൗട്ടറിലെ WireGuard സെർവറിന് 10.8.0.1/24 പോലുള്ള ഇന്റർഫേസ് വിലാസവും ലാപ്ടോപ്പിനായി ഒരു പീയർ എൻട്രിയും ഉണ്ട്. ഏതൊക്കെ ലക്ഷ്യസ്ഥാനങ്ങൾ ടണലിലേക്ക് അയക്കണം എന്ന് ക്ലയന്റ് തീരുമാനിക്കുന്നു, ടണലിന്റെ സബ്നെറ്റ് മാത്രം അടങ്ങിയ പട്ടിക LAN-നെ അദൃശ്യമായി വിടുന്നു, സെർവർ എങ്ങനെ കോൺഫിഗർ ചെയ്താലും. രണ്ട് അറ്റങ്ങളും യോജിക്കണം, സാധാരണയായി അവയിൽ ഒന്ന് മാത്രമാണ് എഡിറ്റ് ചെയ്യുന്നത്.

wg show wg0 allowed-ips
ip route get 192.168.1.1

ആദ്യ കമാൻഡ് സെർവറിന്റെ കാഴ്ചപ്പാടിൽ ഓരോ പീയറിനും എന്ത് അയക്കാം എന്ന് അറിയിക്കുന്നു; രണ്ടാമത്തേത് ക്ലയന്റിൽ LAN വിലാസം യഥാർത്ഥത്തിൽ എവിടെ പോകും എന്ന് അറിയിക്കുന്നു. ടണൽ ഇന്റർഫേസിലേക്ക് പരിഹരിക്കുന്ന LAN ലക്ഷ്യസ്ഥാനം പ്രവർത്തിക്കുന്ന റൂട്ടിംഗാണ്, ഫിസിക്കൽ ഗേറ്റ്വേ വഴി പുറത്തുപോകുന്നത് ഫയർവാൾ എന്ത് പറഞ്ഞാലും ഒരിക്കലും എത്തില്ല. ക്ലയന്റിന്റെ അനുവദിച്ച പട്ടികയിൽ LAN പ്രിഫിക്സ് ചേർക്കുക, അപ്പോൾ അതേ രണ്ട് കമാൻഡുകൾ ഡയഗ്നോസിസിന് പകരം പരിശോധനാ ഘട്ടമാകുന്നു.

IPsec ഗേറ്റ്വേകൾക്ക് അതേ ചാട്ടം വിവരിക്കുന്നത് strongSwan-ന്റെ ഫോർവേഡിംഗ് ഡോക്യുമെന്റേഷൻ ആണ്, അവിടെ ഫോർവേഡിംഗും source-NAT നിയമവും ടണൽ ക്ലയന്റിനെ ആന്തരിക ഹോസ്റ്റുമായി ബന്ധിപ്പിക്കുന്നു. അഡ്രസ്സിംഗ് വ്യത്യസ്തമാണ്; ആവശ്യകതയല്ല.

അഡ്മിൻ പേജ് ആർക്ക് തുറക്കാം

ആക്സസ് നിയന്ത്രണം റൗട്ടറിലാണ്, സൂക്ഷ്മതയുള്ള ഉദ്ദേശ്യത്തിലല്ല. പേജ് ആവശ്യമുള്ള പ്രാമാണീകരിച്ച ടണൽ ഐഡന്റിറ്റിക്കോ സോഴ്സ് ശ്രേണിക്കോ മാത്രം അനുവാദം നൽകുക, റൗട്ടറിന്റെ സ്വന്തം ഇൻപുട്ട് ചെയിനും ഫോർവേഡ് ചെയ്ത LAN നയവും വായിക്കുക. വയർഡ് LAN-ന് അഡ്മിൻ പേജിൽ എത്താൻ അനുവാദം നൽകുന്ന നിയമം ടണൽ ഇന്റർഫേസിൽ വരുന്ന ക്ലയന്റിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. ഒരു നിർദ്ദിഷ്ട ഐഡന്റിറ്റിക്ക് ഒഴിവ് എഴുതുക, തുടർന്ന് നിരസിക്കേണ്ട രണ്ടാമത്തെ ഐഡന്റിറ്റി സൂക്ഷിക്കുക.

ശ്രോതാവ് മറ്റേ പകുതിയാണ്, ഫയർവാൾ ഔട്ട്പുട്ടിൽ അത് അദൃശ്യമാണ്. ss -ltnp വെബ് സെർവർ ബന്ധിപ്പിച്ചിരിക്കുന്ന വിലാസം കാണിക്കുന്നു, LAN വിലാസത്തിൽ മാത്രം ബന്ധിപ്പിച്ച സേവനം ടണൽ വിലാസത്തിൽ ഉത്തരം നൽകില്ല, നിയമങ്ങൾ എത്ര അനുവദനീയമായാലും. അത് വീണ്ടും ബന്ധിപ്പിക്കുകയോ വിലാസം ചേർക്കുകയോ ചെയ്യുന്നത് റൗട്ടറിലെ കോൺഫിഗറേഷൻ മാറ്റമാണ്, ഫയർവാൾ മാറ്റമല്ല.

പ്രാമാണീകരണവും ഗതാഗത സാധുതാ പരിശോധനയും ഒരേ ഘട്ടത്തിൽ ഓണാക്കി വയ്ക്കുക. എത്തുന്നത് വിശ്വാസമല്ല, ടണലിനുള്ളിലെ ഓരോ ഉപകരണവും അതുകൊണ്ട് അഡ്മിനിസ്ട്രേറ്ററാകുന്നില്ല. ടണൽ ക്രെഡൻഷ്യലും റൗട്ടർ അക്കൗണ്ടും വെവ്വേറെ ജീവിതചക്രങ്ങളുള്ള വെവ്വേറെ അധികാരങ്ങളാണ്, അതിനാൽ നഷ്ടപ്പെട്ട ലാപ്ടോപ്പിന്റെ കീ ഓരോ അഡ്മിനിസ്ട്രേറ്ററുടെയും പാസ്വേഡ് പുനഃസജ്ജീകരിക്കാതെ റദ്ദാക്കാം.

സോഫയിൽ നിന്നല്ല, പുറത്തുനിന്ന് പരീക്ഷിക്കുക

നിങ്ങൾ നിയന്ത്രിക്കാത്ത നെറ്റ്വർക്കിൽ നിന്ന് പരീക്ഷിക്കുക. അനുവദിച്ച ടണൽ വഴി ബന്ധിപ്പിക്കുക, പുതിയ അഡ്മിൻ സെഷൻ തുറക്കുക, പേജിൽ പ്രതിഫലിക്കുന്നതായി കാണുന്ന നിരുപദ്രവകരമായ എന്തെങ്കിലും മാറ്റുക. സോഫയിൽ നിന്ന് നിങ്ങൾ LAN പ്രവർത്തിക്കുന്നു എന്ന് തെളിയിക്കുന്നു, അത് ഒരിക്കലും സംശയത്തിലായിരുന്നില്ല.

പിന്നെ അതേ ശ്രദ്ധയോടെ നിരസിക്കലുകൾ പരീക്ഷിക്കുക. ടണൽ ഇല്ലാതെ പേജ് തുറക്കാൻ ശ്രമിക്കുക, അത് പരാജയപ്പെടുന്നു എന്ന് ഉറപ്പാക്കുക, അഡ്മിനിസ്ട്രേഷൻ സേവനം WAN വിലാസത്തിൽ ഒട്ടും കേൾക്കുന്നില്ല എന്ന് ഉറപ്പാക്കുക. ലിങ്ക് ഇല്ലാത്ത പേജ് മാത്രം ആക്സസ് നിയന്ത്രണമല്ല, ലോഗിൻ ഫോം കാണിക്കുന്ന WAN ശ്രോതാവ് ഇപ്പോഴും WAN ശ്രോതാവാണ്. ഇന്റർനെറ്റും റൗട്ടർ കൺസോളും തമ്മിൽ പാസ്വേഡ് മാത്രമാണെങ്കിൽ, ഡിസൈൻ ഒരു പാസ്വേഡാണ്.

നിങ്ങൾ അവിടെയുള്ളപ്പോൾ വീട്ടിലെ സേവനങ്ങളും ഒന്ന് നോക്കേണ്ടതാണ്. മാനേജ്മെന്റ് നിയമങ്ങൾ കർശനമാക്കുന്നത് പലപ്പോഴും ഗസ്റ്റ് നെറ്റ്വർക്കോ കുടുംബ ഉപകരണങ്ങൾ ഉപയോഗിക്കുന്ന റിസോൾവറോ തകർക്കുന്നു, അത് ദിവസങ്ങൾക്ക് ശേഷം ബന്ധമില്ലാത്ത പരാതിയായി പുറത്തുവരുന്നു.

മാറ്റങ്ങൾ വരുത്തുമ്പോൾ തിരികെയുള്ള വഴി സൂക്ഷിക്കുക

വിദൂരത്തുനിന്ന് റൂട്ടുകളോ ടണൽ ക്രമീകരണങ്ങളോ മാറ്റുന്നതിന് മുമ്പ് സ്വതന്ത്രമായ തിരികെയുള്ള വഴി തയ്യാറാക്കുക. നിലവിലുള്ള സെഷൻ പുതിയ കണക്ഷനുകൾ ഇതിനകം തടയുന്ന മാറ്റത്തെ അതിജീവിച്ചേക്കാം, ഇപ്പോഴും പ്രവർത്തിക്കുന്ന സെഷൻ നോക്കിക്കൊണ്ട് ആളുകൾ സ്വയം പുറത്ത് പൂട്ടുന്നത് കൃത്യമായി ഇങ്ങനെയാണ്. ഓപ്ഷനുകൾ വ്യക്തമാണ്: അറിയപ്പെടുന്ന കോൺഫിഗറേഷനിലേക്ക് ഷെഡ്യൂൾ ചെയ്ത റീബൂട്ട്, കൺസോൾ അല്ലെങ്കിൽ ഫിസിക്കൽ ആക്സസ്, എഡിറ്റ് ചെയ്യുന്ന ക്രമീകരണത്തെ ആശ്രയിക്കാത്ത രണ്ടാമത്തെ ടണൽ, അല്ലെങ്കിൽ ഹാർഡ്വെയർ വാഗ്ദാനം ചെയ്യുന്നിടത്ത് ബാൻഡിന് പുറത്തുള്ള മാനേജ്മെന്റ്. ഒന്ന് തിരഞ്ഞെടുത്ത് അറ്റകുറ്റപ്പണി വിൻഡോയ്ക്ക് മുമ്പ് തെളിയിക്കുക, അതിനിടയിൽ അല്ല.

രേഖ ചെറുതും കാലികവുമായി സൂക്ഷിക്കുക: ഏത് ഹോസ്റ്റാണ് ടണൽ അവസാനിപ്പിക്കുന്നത്, ഏത് ഐഡന്റിറ്റികൾക്ക് പേജിൽ എത്താം, സേവനം ഏത് വിലാസത്തിലാണ് ബന്ധിക്കുന്നത്, നഷ്ടപ്പെട്ട ഉപകരണം എങ്ങനെ റദ്ദാക്കുന്നു. ആ പട്ടിക വീണ്ടെടുപ്പ് പ്ലാനായും പ്രവർത്തിക്കുന്നു, ഓരോ ആശ്രിതത്വവും എവിടെയാണ് എന്ന് അത് പറയുന്നു. നഷ്ടപ്പെട്ട തിരികെയുള്ള വഴി ശരിയാക്കേണ്ട റൂട്ടിംഗ് പ്രശ്നമാണ്, അത് WAN-ൽ അഡ്മിനിസ്ട്രേഷൻ പ്രസിദ്ധീകരിക്കാനുള്ള കാരണം ഒരിക്കലുമല്ല.