Роутерийн админ хуудсанд WAN-аар биш, VPN-ээр хүрэх

Роутерийн админ хуудас буйдан дээрээс хоёр секундэд нээгддэг ч зочид буудлын өрөөнөөс хугацаа хэтэрдэг, харин VPN клиент бүх хугацаанд холбогдсон гэж мэдээлдэг. Танд гарах зам байгаа бөгөөд буцах зам байхгүй: тунель таны урсгалыг интернетэд хүргээд тэнд зогсдог. Өөрийн LAN доторх төхөөрөмжид хүрэхийн тулд түүн рүү маршруттай зүйл дээр дуусах сесс хэрэгтэй. Энэ бол дизайны шийдвэр, тохиргоо биш бөгөөд үлдсэн ажил огт боломжтой эсэхийг энэ тодорхойлно.

Энэ ялгааг алдахад хялбар, учир нь нэг бүтээгдэхүүн хоёр ажлыг хийж чадна. Арилжааны гаралтын клиент болон алсын хандалтын сервер нэг порт дээр нэг протоколоор ярьж чадна, ялгаа нь төгсгөлийн цэгийн ард байх хаягийн орон зайг аль тал эзэмшихэд оршино.

Тунелийн аль тал LAN-ыг эзэмших вэ

Администрацид төгсгөлийн цэг нь таны хүрэхийг хүсч буй сүлжээний дотор байх ёстой, эсвэл түүн рүү зөвшөөрөгдсөн замтай байх ёстой. Өөрийн VPN серверийг ажиллуулдаг роутер шаардлагад нийцнэ; тогтмол хаягтай, LAN руу маршруттай жижиг, байнга асаалттай хост ч мөн нийцнэ. Гуравдагч этгээдийн удирддаг гаралтын үйлчилгээ нийцэхгүй, учир нь түүний төгсгөлийн цэгт LAN дээр интерфэйс байхгүй бөгөөд нэг нь үүсэхийг зөвшөөрөх дүрэм ч байхгүй. Өөр зүйлд хүрэхээс өмнө энэ шалгалтыг дуусгах ёстой.

Програм хангамж энэ ялгааг ховор тэмдэглэдэг тул протоколын нэрийг биш, функцийн юу хийдгийг уншина уу. WireGuard, OpenVPN болон IKEv2 бүгд зах зээлийн хоёр талд гардаг: нэг бүтээц гэрийн урсгалыг гадагш илгээдэг, нөгөө нь таны алсын төхөөрөмжийг хүлээн авдаг. Зөвхөн клиентэд зориулсан бүтээцийг тохиргоогоор сервер болгох боломжгүй, цэсийг хэрхэн бичсэнээс үл хамааран.

Буцах маршрутыг бий болгох

Роутер дээрх WireGuard сервер 10.8.0.1/24 гэх мэт интерфэйсийн хаяг болон зөөврийн компьютерт зориулсан хосын бичлэгтэй. Аль чиглэлүүдийг тунель руу илгээхийг клиент өөрөө шийддэг бөгөөд зөвхөн тунелийн дэд сүлжээг агуулсан жагсаалт LAN-ыг үл үзэгдэх болгож үлдээдэг, сервер хэрхэн тохируулагдсанаас үл хамааран. Хоёр үзүүр тохиролцох ёстой бөгөөд ихэвчлэн зөвхөн нэгийг нь засварладаг.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Эхний команд нь серверийн өнцгөөс хос бүр юу илгээж болохыг мэдээлнэ; хоёр дахь нь LAN хаяг клиент дээр үнэхээр хаашаа явахыг мэдээлнэ. Тунелийн интерфэйс рүү шийдэгдэх LAN чиглэл нь ажилладаг маршрутчлал бөгөөд физик гарцаар гардаг нь галт хана юу ч гэсэн хэзээ ч хүрэхгүй. Клиентийн зөвшөөрөгдсөн жагсаалтад LAN угтварыг нэмбэл мөнөөх хоёр команд нь оношлогоо биш шалгалтын алхам болно.

IPsec гарцуудад ижил үсрэлтийг strongSwan-ы дамжуулалтын баримт бичиг тайлбарладаг бөгөөд тэнд дамжуулалт болон source-NAT дүрэм нь тунелийн клиентийг дотоод хосттой холбодог. Хаяглалт өөр; шаардлага биш.

Админ хуудсыг хэн нээж болох вэ

Хандалтын хяналт нь роутерт хамаарах бөгөөд болгоомжлох санаанд биш. Хуудсанд хэрэгтэй баталгаажсан тунелийн таних тэмдэг эсвэл эх сурвалжийн мужид л зөвшөөрөх ба роутерийн өөрийн оролтын гинжин хэлхээ болон дамжуулсан LAN бодлогыг уншина уу. Утастай LAN-д админ хуудас хүрэх боломж олгодог дүрэм нь тунелийн интерфэйсээр ирж буй клиентийн талаар юу ч хэлэхгүй. Тодорхой таних тэмдэгт үл хамаарах зүйл бичээд, дараа нь татгалзах ёстой хоёр дахь таних тэмдгийг хадгал.

Сонсогч нь нөгөө хагас бөгөөд галт хананы гаралтад үл үзэгдэнэ. ss -ltnp вэб сервер холбогдсон хаягийг харуулдаг бөгөөд зөвхөн LAN хаягт холбогдсон үйлчилгээ тунелийн хаяг дээр хариу өгөхгүй, дүрмүүд хичнээн зөвшөөрөмжтэй байсан ч. Үүнийг дахин холбох эсвэл хаяг нэмэх нь роутер дээрх тохиргооны өөрчлөлт болохоос галт хананы өөрчлөлт биш.

Баталгаажуулалт болон тээврийн шалгалтыг нэг дамжуулалтад асаалттай байлгаарай. Хүрэх боломж бол итгэл биш, тунель доторх төхөөрөмж бүр үүгээр администратор болохгүй. Тунелийн итгэмжлэл болон роутерийн бүртгэл нь тусдаа амьдралын мөчлөгтэй тусдаа эрх мэдэл тул алдагдсан зөөврийн компьютерын түлхүүрийг администратор бүрийн нууц үгийг шинэчлэхгүйгээр хүчингүй болгож болно.

Гаднаас турших, буйднаас биш

Өөрийн хянадаггүй сүлжээнээс туршина уу. Зөвшөөрөгдсөн тунелээр холбогдож, шинэ админ сесс нээж, хуудсанд тусаж харагдах хор хөнөөлгүй зүйлийг өөрчил. Буйднаас та LAN ажиллаж байгааг нотолж байгаа бөгөөд энэ нь хэзээ ч эргэлзээтэй байгаагүй.

Дараа нь татгалзлыг мөн адил анхааралтай туршина уу. Тунельгүйгээр хуудсыг нээх гэж үзээд бүтэлгүйтдэг эсэхийг батал, администрацийн үйлчилгээ WAN хаяг дээр огт сонсогдохгүй байгааг батал. Зөвхөн холбоосгүй хуудас нь хандалтын хяналт биш бөгөөд нэвтрэх маягт харуулж буй WAN сонсогч нь одоо ч WAN сонсогч юм. Хэрэв интернет болон роутерийн консолын хооронд зөвхөн нууц үг байгаа бол дизайн нь нууц үг юм.

Гэрийн үйлчилгээг та тэнд байхдаа нэг харах хэрэгтэй. Удирдлагын дүрмийг чангатгах нь ихэвчлэн зочдын сүлжээ эсвэл гэр бүлийн төхөөрөмжүүдийн ашигладаг шийдэгчийг эвддэг бөгөөд энэ нь хэдэн өдрийн дараа хамааралгүй гомдол болж илэрдэг.

Өөрчлөлт хийх үеэр буцах замыг хадгалах

Маршрут эсвэл тунелийн тохиргоог алсаас өөрчлөхөөс өмнө бие даасан буцах зам бэлтгэ. Одоо байгаа сесс шинэ холболтыг аль хэдийн хааж буй өөрчлөлтийг даван туулж чаддаг бөгөөд хүмүүс ажиллаж байгаа сессийг харж байхдаа өөрсдийгөө гадаа түгжих нь яг ийм байдлаар болдог. Сонголтууд тодорхой: мэдэгдэж буй тохиргоо руу товлосон дахин ачаалалт, консол эсвэл физик хандалт, засварлаж буй тохиргооноос хамааралгүй хоёр дахь тунель, эсвэл техник хангамж санал болгодог бол зурвасаас гадуурх удирдлага. Нэгийг сонгоод засвар үйлчилгээний цонхны өмнө, түүний үеэр биш нотол.

Бичлэгийг богино, шинэчлэгдсэн байлга: аль хост тунелийг дуусгах, ямар таних тэмдгүүд хуудсанд хүрэх, үйлчилгээ ямар хаягт холбогдох, алдагдсан төхөөрөмжийг хэрхэн хүчингүй болгох. Энэ жагсаалт нь сэргээх төлөвлөгөө болж ч ажиллана, учир нь хамаарал бүр хаана байгааг хэлдэг. Алдагдсан буцах маршрут нь засагдах маршрутчлолын асуудал бөгөөд энэ нь администрацийг WAN дээр нийтлэх шалтгаан хэзээ ч болохгүй.