Ilħaq il-paġna tal-admin tar-router permezz tal-VPN, mhux tal-WAN

Il-paġna tal-admin tar-router tiftaħ fi tnejn sekondi mis-sufan u tispiċċa fil-ħin minn kamra tal-lukanda, filwaqt li l-klijent tal-VPN jirrapporta konness il-ħin kollu. Dak li għandek huwa triq ’il barra, mhux triq lura: it-tunnel iġorr it-traffiku tiegħek lejn l-internet u jieqaf hemm. Biex tasal għal apparat ġewwa l-LAN tiegħek stess teħtieġ sessjoni li tintemm fuq xi ħaġa li għandha rotta lejh. Din hija deċiżjoni tad-disinn, mhux setting, u tiddetermina jekk il-bqija tax-xogħol huwiex possibbli xejn.

Din id-differenza tinqered faċilment għax prodott wieħed jista’ jagħmel iż-żewġ xogħlijiet. Klijent tal-ħruġ kummerċjali u server tal-aċċess mill-bogħod jistgħu jitkellmu l-istess protokoll fuq l-istess port, u d-differenza hija liema naħa tippossjedi l-ispazju tal-indirizzi wara l-punt tat-tmiem.

Liema naħa tat-tunnel tippossjedi l-LAN

Għall-amministrazzjoni l-punt tat-tmiem irid ikun ġewwa n-netwerk li trid tasal għalih, jew ikollu triq awtorizzata lejh. Router li jħaddem is-server tal-VPN tiegħu jissodisfa dan; hekk ukoll host żgħir dejjem mixgħul b’indirizz fiss u rotta lejn il-LAN. Servizz tal-ħruġ immexxi minn parti terza ma jissodisfax, għax il-punt tat-tmiem tiegħu m’għandux interface fuq il-LAN tiegħek u lanqas regola li tħalli waħda tidher. Din hija l-verifika li trid titlesta qabel ma tmiss xi ħaġa oħra.

Il-firmware rari jillikketta din id-differenza, għalhekk aqra x’jagħmel il-karatteristika u mhux liema protokoll issemmi. WireGuard, OpenVPN u IKEv2 kollha jidhru fuq iż-żewġ naħat tas-suq: build wieħed jibgħat it-traffiku tad-dar ’il barra, ieħor jaċċetta l-apparat remot tiegħek. Build tal-klijent biss ma jistax jinbidel f’server b’konfigurazzjoni, kif inhu miktub il-menu.

Nagħmlu t-triq lura teżisti

Server WireGuard fuq ir-router għandu indirizz tal-interface bħal 10.8.0.1/24 u entrata tal-peer għall-laptop. Il-klijent jiddeċiedi liema destinazzjonijiet jibgħat fit-tunnel, u lista li fiha biss is-subnet tat-tunnel tħalli l-LAN inviżibbli, kif inhu kkonfigurat is-server. Iż-żewġ trufijiet iridu jaqblu, u normalment jiġi editjat biss wieħed minnhom.

wg show wg0 allowed-ips
ip route get 192.168.1.1

L-ewwel kmand jirrapporta x’jista’ jibgħat kull peer mill-perspettiva tas-server; it-tieni jirrapporta fejn indirizz tal-LAN fil-fatt imur fuq il-klijent. Destinazzjoni tal-LAN li tiġi riżolta għall-interface tat-tunnel hija routing li taħdem, u dik li toħroġ mill-gateway fiżiku qatt ma tasal, x’jgħid il-firewall. Żid il-prefiss tal-LAN mal-lista permessa tal-klijent u l-istess żewġ kmandi jsiru pass ta’ verifika minflok dijanjosi.

L-istess qabża għall-gateways IPsec tiddeskrivi id-dokumentazzjoni tal-ġbir ta’ strongSwan, fejn il-ġbir u regola source-NAT jgħaqqdu klijent tat-tunnel ma’ host intern. L-indirizzar huwa differenti; il-ħtieġa le.

Min jista’ jiftaħ il-paġna tal-admin

Il-kontroll tal-aċċess jappartjeni lir-router, mhux lill-intenzjoni li tkun attent. Ħalli biss lill-identità tat-tunnel awtentikata jew lill-firxa tas-sors li teħtieġ il-paġna, u aqra l-katina tal-input tar-router innifsu kif ukoll kwalunkwe politika tal-LAN mibgħuta. Regola li tħalli l-LAN bil-wajer jasal għall-paġna tal-admin ma tgħid xejn dwar klijent li jaslu fuq l-interface tat-tunnel. Ikteb l-eċċezzjoni għal identità speċifika, imbagħad żomm it-tieni identità li għandha tiġi rrifjutata.

Is-semmiegħ huwa n-nofs l-ieħor u huwa inviżibbli fil-ħruġ tal-firewall. ss -ltnp juri l-indirizz li miegħu huwa marbut is-server tal-web, u servizz marbut mal-indirizz tal-LAN biss ma jweġibx fuq l-indirizz tat-tunnel, kemm huma permessivi r-regoli. Li terġa’ torbotha jew iżżid indirizz hija bidla fil-konfigurazzjoni fuq ir-router, mhux bidla fil-firewall.

Żomm l-awtentikazzjoni u l-validazzjoni tat-trasport mixgħula fl-istess passa. Li tasal mhix fiduċja, u mhux kull apparat ġewwa tunnel isir amministratur b’hekk. Il-kredenzjali tat-tunnel u l-kont tar-router huma privileġġi separati b’ċikli tal-ħajja separati, għalhekk iċ-ċavetta ta’ laptop mitluf tista’ tiġi revokata mingħajr ma jiġi reset il-password ta’ kull amministratur.

Nittestjaw minn barra, mhux mis-sufan

Ittestja minn netwerk li ma tikkontrollax. Qabbad permezz tat-tunnel approvat, iftaħ sessjoni tal-admin ġdida, u biddel xi ħaġa bla ħsara li tara riflessa fil-paġna. Mis-sufan qed tipprova li l-LAN taħdem, li qatt ma kien dubju.

Imbagħad ittestja r-rifjuti bl-istess attenzjoni. Ipprova l-paġna mingħajr it-tunnel u kkonferma li tfalli, u kkonferma li s-servizz tal-amministrazzjoni qatt mhu qed jisma’ fuq l-indirizz tal-WAN. Paġna li sempliċement mhix marbuta mhix kontroll tal-aċċess, u semmiegħ fuq il-WAN li juri formola tal-login għadu semmiegħ fuq il-WAN. Jekk password hija l-unika ħaġa bejn l-internet u l-console tar-router, id-disinn huwa password.

Is-servizzi tad-dar jixirqilhom ħarsa waqt li tkun hemm. L-għoti ta’ aktar saħħa lir-regoli tal-ġestjoni spiss ikisser in-netwerk tal-mistednin jew ir-resolver li jużaw l-apparati tal-familja, u dan jidher ġranet wara bħala lment mhux relatat.

Inżommu triq lura waqt li tbiddel affarijiet

Qabel tbiddel rotot jew settings tat-tunnel mill-bogħod, ipprepara triq lura indipendenti. Sessjoni eżistenti tista’ tgħaddi mill-bidla li diġà timblokka konnessjonijiet ġodda, u hekk preċiż in-nies jaqsmu lilhom infushom barra waqt li jkunu qed jaraw sessjoni li għadha taħdem. L-għażliet huma konkreti: reboot skedat għal konfigurazzjoni magħrufa, aċċess mill-console jew fiżiku, it-tieni tunnel li ma jiddependix mis-setting li qed jiġi editjat, jew ġestjoni barra mill-banda fejn il-hardware joffriha. Agħżel waħda u ppruvaha qabel it-tieqa tal-manutenzjoni, mhux waqt.

Żomm ir-rekord qasir u aġġornat: liema host itemm it-tunnel, liema identitajiet jistgħu jaslu għall-paġna, liema indirizz is-servizz jorbot miegħu, u kif apparat mitluf jiġi revokat. Dik il-lista sservi wkoll bħala pjan ta’ rkupru, għax tgħid fejn tgħix kull dipendenza. Triq lura nieqsa hija problema tar-routing li trid tissewwa, u qatt mhi raġuni biex tippubblika l-amministrazzjoni fuq il-WAN.