Capai halaman admin penghala melalui VPN, bukan melalui WAN

Halaman admin penghala terbuka dalam dua saat dari sofa dan tamat masa dari bilik hotel, sementara klien VPN melaporkan disambung sepanjang masa. Apa yang anda ada ialah jalan keluar, bukan jalan balik: terowong membawa trafik anda ke internet dan berhenti di situ. Untuk mencapai peranti di dalam LAN anda sendiri memerlukan sesi yang berakhir pada sesuatu yang mempunyai laluan ke sana. Itu keputusan reka bentuk, bukan tetapan, dan ia menentukan sama ada kerja selebihnya mungkin sama sekali.

Perbezaan ini mudah hilang kerana satu produk boleh melakukan kedua-dua tugas. Klien exit komersial dan pelayan akses jauh boleh bercakap protokol yang sama pada port yang sama, dan perbezaannya ialah pihak mana yang memiliki ruang alamat di belakang titik akhir.

Pihak mana terowong yang memiliki LAN

Untuk pentadbiran, titik akhir mesti berada di dalam rangkaian yang ingin anda capai, atau mempunyai laluan yang dibenarkan ke dalamnya. Penghala yang menjalankan pelayan VPN sendiri memenuhi syarat; begitu juga hos kecil yang sentiasa hidup dengan alamat tetap dan laluan ke LAN. Perkhidmatan exit yang dikendalikan pihak ketiga tidak memenuhi, kerana titik akhirnya tiada antara muka pada LAN anda dan tiada peraturan yang membenarkan satu muncul. Inilah pemeriksaan yang perlu diselesaikan sebelum menyentuh apa-apa yang lain.

Perisian tegar jarang melabel perbezaan itu, jadi baca apa yang ciri itu lakukan dan bukan protokol yang disebutnya. WireGuard, OpenVPN dan IKEv2 semuanya muncul di kedua-dua belah pasaran: satu binaan menghantar trafik rumah ke luar, satu lagi menerima peranti jauh anda. Binaan klien sahaja tidak boleh dijadikan pelayan melalui konfigurasi, bagaimana pun menu ditulis.

Menjadikan laluan balik wujud

Pelayan WireGuard pada penghala mempunyai alamat antara muka seperti 10.8.0.1/24 dan entri rakan untuk komputer riba. Klien memutuskan destinasi mana yang akan dihantar ke dalam terowong, dan senarai yang hanya mengandungi subnet terowong membiarkan LAN tidak kelihatan, bagaimana pun pelayan dikonfigurasikan. Kedua-dua hujung mesti bersetuju, dan biasanya hanya satu daripadanya disunting.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Perintah pertama melaporkan apa yang dibenarkan dihantar oleh setiap rakan dari sudut pandangan pelayan; yang kedua melaporkan ke mana alamat LAN sebenarnya akan pergi pada klien. Destinasi LAN yang diselesaikan ke antara muka terowong ialah penghalaan yang berfungsi, dan yang keluar melalui gateway fizikal tidak akan tiba, apa pun kata tembok api. Tambahkan awalan LAN pada senarai dibenarkan klien dan kedua-dua perintah yang sama menjadi langkah pengesahan dan bukan diagnosis.

Lompatan yang sama untuk gateway IPsec diterangkan oleh dokumentasi pemajuan strongSwan, di mana pemajuan dan peraturan source-NAT yang menghubungkan klien terowong dengan hos dalaman. Pengalamatan berbeza; keperluan tidak.

Siapa yang boleh membuka halaman admin

Kawalan akses terletak pada penghala, bukan pada niat untuk berhati-hati. Benarkan hanya identiti terowong yang disahkan atau julat sumber yang memerlukan halaman itu, dan baca rantai input penghala itu sendiri serta mana-mana dasar LAN yang dimajukan. Peraturan yang membenarkan LAN berwayar mencapai halaman admin tidak berkata apa-apa tentang klien yang tiba pada antara muka terowong. Tulis pengecualian untuk identiti tertentu, kemudian kekalkan identiti kedua yang sepatutnya ditolak.

Pendengar ialah separuh yang lain dan ia tidak kelihatan dalam keluaran tembok api. ss -ltnp menunjukkan alamat yang pelayan web terikat, dan perkhidmatan yang terikat hanya pada alamat LAN tidak akan menjawab pada alamat terowong, walau betapa permisif peraturannya. Mengikatnya semula atau menambah alamat ialah perubahan konfigurasi pada penghala, bukan perubahan tembok api.

Kekalkan pengesahan dan pengesahan pengangkutan dihidupkan dalam pas yang sama. Boleh dicapai bukan bermakna dipercayai, dan setiap peranti di dalam terowong tidak menjadi pentadbir kerana itu. Kredensial terowong dan akaun penghala ialah keistimewaan berasingan dengan kitaran hayat berasingan, jadi kunci komputer riba yang hilang boleh dibatalkan tanpa menetapkan semula kata laluan setiap pentadbir.

Menguji dari luar, bukan dari sofa

Uji dari rangkaian yang anda tidak kawal. Sambung melalui terowong yang diluluskan, buka sesi admin baharu, dan ubah sesuatu yang tidak berbahaya yang anda lihat terpantul pada halaman. Dari sofa anda membuktikan LAN berfungsi, yang tidak pernah diragui.

Kemudian uji penolakan dengan kecermatan yang sama. Cuba halaman tanpa terowong dan sahkan ia gagal, dan sahkan perkhidmatan pentadbiran sama sekali tidak mendengar pada alamat WAN. Halaman yang hanya tidak dipautkan bukan kawalan akses, dan pendengar WAN yang memaparkan borang log masuk masih pendengar WAN. Jika kata laluan ialah satu-satunya perkara antara internet dan konsol penghala, reka bentuknya ialah kata laluan.

Perkhidmatan rumah wajar dilihat semasa anda di sana. Memperketat peraturan pengurusan sering merosakkan rangkaian tetamu atau penyelesai yang digunakan peranti keluarga, dan itu muncul beberapa hari kemudian sebagai aduan yang tidak berkaitan.

Mengekalkan jalan balik semasa anda mengubah sesuatu

Sebelum mengubah laluan atau tetapan terowong dari jauh, sediakan jalan balik yang bebas. Sesi sedia ada boleh bertahan dengan perubahan yang sudah menyekat sambungan baharu, dan itulah cara orang mengunci diri di luar sambil menonton sesi yang masih berfungsi. Pilihannya konkrit: but semula berjadual ke konfigurasi yang diketahui, akses konsol atau fizikal, terowong kedua yang tidak bergantung pada tetapan yang sedang disunting, atau pengurusan luar jalur di mana perkakasan menawarkannya. Pilih satu dan buktikannya sebelum tetingkap penyelenggaraan, bukan semasanya.

Kekalkan rekod ringkas dan terkini: hos mana yang menamatkan terowong, identiti mana yang boleh mencapai halaman, alamat mana perkhidmatan terikat, dan bagaimana peranti yang hilang dibatalkan. Senarai itu juga berfungsi sebagai pelan pemulihan, kerana ia menyatakan di mana setiap kebergantungan berada. Laluan balik yang hilang ialah masalah penghalaan untuk dibaiki, dan ia tidak pernah menjadi alasan untuk menerbitkan pentadbiran pada WAN.