Għaliex l-amministrazzjoni tar-router tieqaf twieġeb wara bidla fil-VPN

Bidla fil-VPN tista' tqaċċat it-triq tal-amministrazzjoni tar-router jew twessa'ha bil-kwiet. Iċċekkja r-rotta, ir-regola tad-dħul u s-semmiegħa qabel ma tafda l-mina.

Bdilt rotta jew regola tal-firewall biex tittestja mina fuq ir-router, u issa l-paġna tal-amministrazzjoni ma twieġebx mil-laptop li kien qed jaħdem sew għaxar minuti ilu. Ir-rifless huwa li tqaċċat il-VPN. Ħafna drabi l-mina hija sana u waħda minn tliet affarijiet oħra nqabdet: m'hemmx rotta lura lejn l-indirizz tar-router innifsu, politika tad-dħul tarmi t-talba, jew servizz tal-web mhux qed jisma' fl-indirizz li qed issejjaħ. It-tlieta jidhru l-istess fil-browser, u għalhekk in-nies jerġgħu jibdew il-mina għal siegħa u ma jitgħallmu xejn.

Hawn il-mit li jixraqlu jinqatel l-ewwel: mina li taħdem mhijiex triq lura ġewwa. Hija konnessjoni ġdida tan-netwerk bil-mistoqsijiet ta' fiduċja tagħha stess, u tista' tneħħi t-triq tal-amministrazzjoni l-antika tiegħek bil-kwiet waqt li tiftaħ waħda ġdida li ħadd ma revediha.

Il-mina qatt ma kienet it-triq tal-amministrazzjoni

It-trasferiment u d-dħul huma xogħlijiet differenti. "Jista' klijent jasal għan-NAS permezz tal-mina?" hija mistoqsija tat-trasferiment dwar pakketti li jgħaddu mir-router. "Nista' niftaħ il-port SSH tar-router?" hija mistoqsija tad-dħul dwar pakketti indirizzati lir-router innifsu. Regola ta' permess miktuba għat-traffiku trasferit ma tagħmel xejn għat-tieni waħda, u dan huwa l-aktar raġuni komuni li għaliha mina li ġġorr it-traffiku b'mod perfett xorta tirrifjuta s-sessjoni tal-amministrazzjoni tiegħek.

L-iżball oppost huwa li tafda l-isem ta' interface. Mina hija ċċifrata lejn il-peer, mhux lejn kull servizz warajha, u l-kelma VPN fuq tikketta tal-interface ma tgħid xejn dwar liema sorsi għandhom ikunu jistgħu jidħlu.

L-ewwel saff: hemm rotta lejn l-indirizz tar-router innifsu?

Ibda mill-klijent u staqsi lill-kernel fejn sejjer il-pakkett. Fuq Linux ip route get 10.6.0.1 jipprintja r-rotta magħżula, l-interface tal-ħruġ u l-indirizz tas-sors. Jekk jirrapporta r-rotta default lejn il-fornitur tiegħek, il-pakkett qatt ma jidħol fil-mina, u l-ebda regola fuq ir-router ma tista' ssalvah.

In-naħa tal-mina għandha l-verżjoni tagħha tal-mistoqsija. WireGuard jittratta AllowedIPs bħala tabella tal-routing tal-muftieħ tal-kriptaġġ: f'kull tarf tiddikjara liema indirizzi tas-sors jista' juża peer u liema destinazzjonijiet jintbagħtu lil dak il-peer. Jekk id-dħul tal-klijent ma jinkludix l-indirizz tal-mina tar-router, il-klijent m'għandux rotta lejh. Jekk id-dħul tas-server għal dak il-klijent ma jkoprix l-indirizz tal-mina tal-klijent, is-server jarmi l-pakkett qabel ma tiġi kkonsultata xi regola tal-firewall.

Ikkonferma l-indirizz eżatt li tistenna li tilħaq qabel ma tiddebubja l-politika. Rekord DNS antik jew dħul tal-ġar fil-cache minn qabel il-bidla jibgħatek lejn indirizz li r-router qatt ma kellu.

It-tieni saff: il-politika tad-dħul, mhux il-politika tat-trasferiment

Il-firewalls jivvalutaw ir-regoli fuq l-interface fejn jasal il-pakkett. Fuq pfSense u OPNsense it-tab tal-interface u l-ordni tar-regoli jiddeċiedu jekk it-traffiku lejn is-servizzi tal-firewall innifsu huwiex permess; regola li tħalli lill-klijenti LAN joħorġu fl-internet mhijiex regola li tħalli peer tal-mina jiftaħ il-GUI tal-web. Fuq OpenWrt b'firewall4 kull żona ġġorr politika tad-dħul, option input 'ACCEPT' jew 'REJECT', u interface tal-mina f'żona bid-dħul REJECT tirrifjuta konnessjonijiet tal-amministrazzjoni filwaqt li xorta tibgħaddi t-traffiku jekk it-trasferiment huwa permess.

Tiddiżattivax ir-regola kontra l-illokkjar biex taħdem it-triq il-ġdida. Dik ir-regola żżomm l-indirizz tal-amministrazzjoni LAN milli jiġi illokkjat minn regola ħażina; tipproteġi s-subnet LAN, mhux is-subnet tal-mina li għadek kemm ħloqt. Żid regola waħda dejqa għas-sors tal-amministratur u ħalli x-xibka tas-sigurtà kif inhi. Id-dokumentazzjoni ta' pfSense dwar l-aċċess tal-amministratur tispjega fejn jinsabu dawk il-kontrolli.

# on the router: bind addresses and the loaded ruleset
ss -ltnp | grep -E ':(22|80|443)\b'         # Linux / OpenWrt
sockstat -4 -l | grep -E ':(22|80|443)\b'   # FreeBSD / pfSense
nft list ruleset | grep -A6 'chain input'    # firewall4
pfctl -sr | head -40                         # pf / pfSense

It-tielet saff: qed jisma' xi ħaġa fuq dak l-indirizz?

Servizz jista' jkun qed jaħdem u xorta ma jintlaħaqx għax ingħaqad ma' indirizz wieħed. L-uhttpd ta' OpenWrt iżomm dħul tas-smigħ espliċiti f'/etc/config/uhttpd, pereżempju list listen_http '0.0.0.0:80'; bini li jingħaqad biss mal-indirizz LAN ma jaċċetta xejn fl-indirizz tal-mina, u prodotti li juru setting tal-interface tas-smigħ iġġibu ruħhom l-istess. Il-kmandi tas-smigħ ta' fuq iwieġbu dan direttament.

Imbagħad issepara ċ-ċaħda mis-skiet. nc -vz 10.6.0.1 443 li jirritorna konnessjoni miċħuda jfisser li l-pakkett wasal għar-router u xi ħaġa ċaħditu, jew port magħluq jew regola ta' ċaħda espliċita. Tgħalliq sat-timeout ifisser li l-pakkett tħalla jew qatt ma ġie routed. Dik id-differenza tgħidlek liema saff għandek teżamina wara, u tiswa ħames sekondi.

Interface VPN hija fruntiera, mhux triq tal-irkupru

Il-kriptaġġ jipproteġi l-wajer; ma jgħid xejn dwar min jista' jiftaħ il-paġna tal-amministrazzjoni. Ladarba l-mina taħdem, irreżisti x-xewqa li ssolvi l-aċċessibbiltà billi tippermetti kollox fuq l-interface tal-mina. Agħti lill-amministraturi regola marbuta mal-indirizz tal-mina tagħhom stess jew mina separata biss għall-amministraturi, u żomm l-utenti normali, in-NAS, il-kameras u l-laptops tal-familja 'l bogħod mill-port tal-amministrazzjoni. Peer li jeħtieġ qsim tal-fajls m'għandux ikun regola waħda bogħod mill-login tar-router.

Ir-rwol tar-router ibiddel it-tweġiba. Router li jtemm il-mina jista' leġittimament jaċċetta amministraturi minnha, filwaqt li router li juża l-mina biss bħala ħruġ tal-internet normalment m'għandux. Fiż-żewġ każijiet il-permess tas-subnet mhuwiex il-login, għalhekk ħalli l-awtentikazzjoni tal-kont u s-sigurtà tat-trasport mixgħula.

Il-mossa tal-kumpens li jagħmlu n-nies wara illokkjar hija agħar: ix-xegħil tal-amministrazzjoni WAN jew it-trasferiment ta' port lejn il-GUI tal-web. Dan ibiddel interruzzjoni qasira f'espożizzjoni permanenti, u l-paġna tal-login imbagħad tkun aċċessibbli għal kull skanner fl-internet. Ipprova wkoll in-naħa miċħuda, mhux biss dik permessa, sabiex peer li m'għandux ikollu aċċess tal-amministratur jieħu timeout jew ċaħda minflok talba tal-login.

Ipprova wkoll b'konnessjoni friska. Firewall tal-istat iżomm il-flussi eżistenti fit-tabella tal-istat tiegħu, għalhekk is-sessjoni SSH li diġà għandek miftuħa tista' tgħix bidla li timblokka kull konnessjoni ġdida. Hekk illokkjar jibqa' inviżibbli sal-boot mill-ġdid li jmiss jew l-irqad li jmiss tal-laptop.

Ipprepara t-triq lura qabel ma tmiss il-politika

Ikteb erba' affarijiet qabel l-ewwel bidla: kif se tasal għall-apparat jekk il-mina tmut, bħal console serjali, console tal-fornitur jew magna fil-LAN; fejn tiġi esportata l-konfigurazzjoni attwali; liema regola jew rotta waħda se tbiddel; u kif se terġa' lura eżattament dak l-element. Fuq OpenWrt sysupgrade -b /tmp/backup.tar.gz jaqbad il-konfigurazzjoni, u l-editjar jibqa' pendenti sa uci commit, li jagħtik treġġigħ lura irħis jekk tinnota fil-ħin. pfSense iżomm storja tal-konfigurazzjoni, u AutoConfigBackup jgħin biss jekk kien diġà mixgħul. Jekk ir-router qed iħaddem sett ta' regoli fail-closed, ikkonferma li t-triq tal-manutenzjoni li ppjanajt mhijiex ġewwa t-traffiku li timblokka dik ir-regola, u ftakar li boot mill-ġdid jerġa' japplika r-regoli permanenti minflok ma jħassarhom.

Biddel fruntiera waħda għal kull prova, imbagħad ipprova minn konnessjoni ġdida minflok mis-shell li żżomm miftuħa. Jekk it-test jonqos, erġa' lura dik il-bidla waħda qabel ma tmiss is-saff li jmiss. Il-mina tista' tibqa' għolja l-ħin kollu, imma l-ikona tal-istat aħdar tagħha mhijiex prova li għadek tista' tidħol.

Kontroll malajr qabel ma tmur:

  • Tista' tasal għar-router minn sors li ma jiddependix mir-regola li għadek kemm editjajt?
  • Il-politika tad-dħul fuq l-interface tal-mina tippermetti biss is-sors tal-amministratur?
  • Is-servizz tal-amministrazzjoni marbut ma' indirizz li jeżisti fuq il-mina?
  • Ippruvajt peer miċħud wieħed u sessjoni friska waħda?
  • Il-wiċċ tal-amministrazzjoni WAN għadu magħluq?

Artikli relatati