Nå ruterens admin-side via VPN, ikke via WAN

Ruterens admin-side åpnes på to sekunder fra sofaen og går ut på tid fra et hotellrom, mens VPN-klienten hele tiden rapporterer at den er tilkoblet. Det du har, er en vei ut, ikke en vei tilbake: tunnelen bærer trafikken din til internett og stopper der. For å nå en enhet inne i ditt eget LAN trengs en økt som avsluttes på noe med en rute dit. Det er en designbeslutning, ikke en innstilling, og den avgjør om resten av arbeidet i det hele tatt er mulig.

Forskjellen er lett å miste fordi ett produkt kan gjøre begge jobbene. En kommersiell utgangsklient og en server for fjern tilgang kan snakke samme protokoll på samme port, og forskjellen er hvilken side som eier adresseområdet bak endepunktet.

Hvilken side av tunnelen eier LAN-et

For administrasjon må endepunktet ligge inne i nettverket du vil nå, eller ha en autorisert vei inn i det. En ruter som kjører sin egen VPN-server kvalifiserer; det gjør også en liten alltid på-vert med fast adresse og en rute til LAN-et. En utgangstjeneste drevet av en tredjepart gjør det ikke, fordi endepunktet ikke har noe grensesnitt på LAN-et ditt og ingen regel som ville la ett dukke opp. Dette er kontrollen som må fullføres før du rører noe annet.

Fastvaren merker sjelden den forskjellen, så les hva funksjonen gjør i stedet for hvilken protokoll den nevner. WireGuard, OpenVPN og IKEv2 dukker alle opp på begge sider av markedet: én bygg sender husholdningstrafikk ut, en annen godtar den eksterne enheten din. En bygg kun for klient kan ikke gjøres om til en server via konfigurasjon, uansett hvordan menyen er formulert.

Få returruten til å finnes

En WireGuard-server på ruteren har en grensesnittadresse som 10.8.0.1/24 og en peer-oppføring for den bærbare. Klienten bestemmer hvilke mål den sender inn i tunnelen, og en liste som bare inneholder tunnelsubnettet lar LAN-et være usynlig, uansett hvordan serveren er konfigurert. Begge ender må være enige, og vanligvis redigeres bare én av dem.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Den første kommandoen rapporterer hva hver peer har lov til å sende fra serverens synspunkt; den andre rapporterer hvor en LAN-adresse faktisk ville gå på klienten. Et LAN-mål som løses til tunnelgrensesnittet er ruting som virker, og det som går ut gjennom den fysiske gatewayen kommer aldri fram, uansett hva brannmuren sier. Legg LAN-prefikset til i klientens tillatte liste, og de samme to kommandoene blir et verifiseringstrinn i stedet for en diagnose.

Det samme hoppet for IPsec-gatewayer beskrives av strongSwan-dokumentasjonen om videresending, der videresending og en source-NAT-regel er det som kobler en tunnelklient til en intern vert. Adresseringen er forskjellig; kravet er det ikke.

Hvem som kan åpne admin-siden

Tilgangskontroll hører på ruteren, ikke i intensjonen om å være forsiktig. Tillat bare den autentiserte tunnelidentiteten eller kildeområdet som trenger siden, og les ruterens egen input-kjede samt enhver videresendt LAN-policy. En regel som lar det kablede LAN-et nå admin-siden, sier ingenting om en klient som kommer inn på tunnelgrensesnittet. Skriv unntaket for en bestemt identitet, og hold deretter en andre identitet som skal avvises.

Lytteren er den andre halvdelen, og den er usynlig i brannmur-utdata. ss -ltnp viser adressen webserveren er bundet til, og en tjeneste som bare er bundet til LAN-adressen vil ikke svare på tunneladressen, uansett hvor tillatende reglene er. Å binde den på nytt eller legge til en adresse er en konfigurasjonsendring på ruteren, ikke en brannmurendring.

Hold autentisering og transportvalidering slått på i samme gjennomgang. Tilgjengelig er ikke betrodd, og hver enhet inne i en tunnel blir ikke dermed administrator. Tunnellegitimasjonen og rutenkontoen er separate privilegier med separate livssykluser, så nøkkelen til en tapt bærbar kan tilbakekalles uten å tilbakestille passordet til hver administrator.

Teste utenfra, ikke fra sofaen

Test fra et nettverk du ikke kontrollerer. Koble til gjennom den godkjente tunnelen, åpne en fersk admin-økt og endre noe harmløst som du ser gjenspeilet på siden. Fra sofaen beviser du at LAN-et virker, noe som aldri var i tvil.

Test deretter avvisningene med samme omhu. Prøv siden uten tunnelen og bekreft at det feiler, og bekreft at administrasjonstjenesten ikke lytter i det hele tatt på WAN-adressen. En side som bare ikke er lenket, er ikke tilgangskontroll, og en WAN-lytter som viser et påloggingsskjema er fortsatt en WAN-lytter. Hvis et passord er det eneste mellom internett og ruterens konsoll, er designet et passord.

Husholdningstjenester fortjener en titt mens du er der. Stramming av administrasjonsregler ødelegger ofte gjestenettverket eller resolveren familieenhetene bruker, og det dukker opp dager senere som en urelatert klage.

Beholde en vei tilbake mens du endrer ting

Før du endrer ruter eller tunnelinnstillinger eksternt, forbered en uavhengig vei tilbake. En eksisterende økt kan overleve endringen som allerede blokkerer nye tilkoblinger, og det er nøyaktig slik folk låser seg selv ute mens de ser på en økt som fortsatt virker. Alternativene er konkrete: en planlagt omstart til en kjent konfigurasjon, konsoll- eller fysisk tilgang, en andre tunnel som ikke avhenger av innstillingen som redigeres, eller out-of-band-administrasjon der maskinvaren tilbyr det. Velg én og bevis den før vedlikeholdsvinduet, ikke under det.

Hold oversikten kort og oppdatert: hvilken vert som avslutter tunnelen, hvilke identiteter som kan nå siden, hvilken adresse tjenesten binder til, og hvordan en tapt enhet tilbakekalles. Den listen fungerer også som gjenopprettingsplan, fordi den sier hvor hver avhengighet bor. En manglende returrute er et ruterproblem som skal repareres, og det er aldri en grunn til å publisere administrasjon på WAN.