Nå admin-sida til ruteren via VPN, ikkje via WAN

Admin-sida til ruteren opnar på to sekund frå sofaen og går ut på tid frå eit hotellrom, medan VPN-klienten heile tida rapporterer at han er tilkopla. Det du har, er ein veg ut, ikkje ein veg tilbake: tunnelen ber trafikken din til internett og stoppar der. For å nå eit apparat inne i ditt eige LAN trengst ei økt som endar på noko med ein rute dit. Det er eit designval, ikkje ei innstilling, og det avgjer om resten av arbeidet i det heile er mogleg.

Skilnaden er lett å miste fordi eitt produkt kan gjere begge jobbane. Ein kommersiell utgangsklient og ein server for fjern tilgang kan snakke same protokoll på same port, og skilnaden er kva side som eig adresseområdet bak endepunktet.

Kva side av tunnelen eig LAN-et

For administrasjon må endepunktet liggje inne i nettverket du vil nå, eller ha ein autorisert veg inn i det. Ein ruter som køyrer sin eigen VPN-server kvalifiserer; det gjer òg ein liten alltid på-vert med fast adresse og ein rute til LAN-et. Ein utgangsteneste driven av ein tredjepart gjer det ikkje, fordi endepunktet ikkje har noko grensesnitt på LAN-et ditt og inga regel som ville la eitt dukke opp. Dette er kontrollen som må fullførast før du rører noko anna.

Fastvaren merkar sjeldan den skilnaden, så les kva funksjonen gjer i staden for kva protokoll han nemner. WireGuard, OpenVPN og IKEv2 dukkar alle opp på begge sider av marknaden: eitt bygg sender hushaldningstrafikk ut, eit anna godtek den eksterne eininga di. Eit bygg berre for klient kan ikkje gjerast om til ein server via konfigurasjon, uansett korleis menyen er formulert.

Få returruta til å finnast

Ein WireGuard-server på ruteren har ei grensesnittadresse som 10.8.0.1/24 og ei peer-oppføring for den bereinlege. Klienten avgjer kva mål han sender inn i tunnelen, og ei liste som berre inneheld tunnelsubnettet lèt LAN-et vere usynleg, uansett korleis serveren er konfigurert. Begge endar må vere samde, og vanlegvis vert berre éin av dei redigert.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Den første kommandoen rapporterer kva kvar peer har lov til å sende frå serveren sitt synspunkt; den andre rapporterer kvar ei LAN-adresse faktisk ville gå på klienten. Eit LAN-mål som løyser seg til tunnelgrensesnittet er rutering som verkar, og det som går ut gjennom den fysiske gatewayen kjem aldri fram, uansett kva brannmuren seier. Legg LAN-prefikset til i den tillatne lista til klienten, og dei same to kommandoane vert eit stadfestingstrinn i staden for ein diagnose.

Det same hoppet for IPsec-gatewayar er skildra av strongSwan-dokumentasjonen om vidaresending, der vidaresending og ei source-NAT-regel er det som koplar ein tunnelklient til ein intern vert. Adresseringa er annleis; kravet er det ikkje.

Kven som kan opne admin-sida

Tilgangskontroll høyrer på ruteren, ikkje i intensjonen om å vere forsiktig. Tillat berre den autentiserte tunnelidentiteten eller kjeldeområdet som treng sida, og les ruteren si eiga input-kjede samt ein kvar vidaresend LAN-policy. Ei regel som lèt det kabelbundne LAN-et nå admin-sida, seier ingenting om ein klient som kjem inn på tunnelgrensesnittet. Skriv unntaket for ein bestemd identitet, og hald deretter ein andre identitet som skal avvisast.

Lyttaren er den andre halvdelen, og han er usynleg i brannmur-utdata. ss -ltnp viser adressa webserveren er bunden til, og ei teneste som berre er bunden til LAN-adressa vil ikkje svare på tunneladressa, uansett kor tillatande reglane er. Å binde henne på nytt eller leggje til ei adresse er ei konfigurasjonsendring på ruteren, ikkje ei brannmurendring.

Hald autentisering og transportvalidering slått på i same gjennomgang. Tilgjengeleg er ikkje betrudd, og kvar eining inne i ein tunnel vert ikkje dermed administrator. Tunnellegitimasjonen og ruterkontoen er separate privilegium med separate livssyklusar, så nøkkelen til ein tapt bereinleg kan kallast tilbake utan å nullstille passordet til kvar administrator.

Teste utanfrå, ikkje frå sofaen

Test frå eit nettverk du ikkje kontrollerer. Kople til gjennom den godkjende tunnelen, opne ei fersk admin-økt og endre noko harmlaust som du ser spegla på sida. Frå sofaen beviser du at LAN-et verkar, noko som aldri var i tvil.

Test deretter avvisingane med same omhug. Prøv sida utan tunnelen og stadfest at det feilar, og stadfest at administrasjonstenesta ikkje lyttar i det heile på WAN-adressa. Ei side som berre ikkje er lenkja, er ikkje tilgangskontroll, og ein WAN-lyttar som viser eit påloggingsskjema er framleis ein WAN-lyttar. Viss eit passord er det einaste mellom internett og konsollen til ruteren, er designet eit passord.

Hushaldningstenester fortener ein titt medan du er der. Stramming av administrasjonsreglar øydelegg ofte gjestenettverket eller resolvaren familieeiningane brukar, og det dukkar opp dagar seinare som ei urelatert klage.

Halde ein veg tilbake medan du endrar ting

Før du endrar ruter eller tunnelinnstillingar eksternt, førebu ein uavhengig veg tilbake. Ei eksisterande økt kan overleve endringa som allereie blokkerer nye tilkoplingar, og det er nøyaktig slik folk låser seg sjølve ute medan dei ser på ei økt som framleis verkar. Alternativa er konkrete: ein planlagd omstart til ein kjend konfigurasjon, konsoll- eller fysisk tilgang, ein andre tunnel som ikkje avheng av innstillinga som vert redigert, eller out-of-band-administrasjon der maskinvaren tilbyr det. Vel éin og bevis han før vedlikehaldsvindauget, ikkje under det.

Hald oversynet kort og oppdatert: kva vert som avsluttar tunnelen, kva identitetar som kan nå sida, kva adresse tenesta bind til, og korleis ei tapt eining vert kalla tilbake. Den lista fungerer òg som gjenopprettingsplan, fordi ho seier kvar kvar avhengnad bur. Ei manglande returrute er eit ruterproblem som skal reparerast, og det er aldri ein grunn til å publisere administrasjon på WAN.