Chegar à página de administração do router por VPN, não pela WAN

A página de administração do router abre em dois segundos a partir do sofá e expira a partir de um quarto de hotel, enquanto o cliente VPN reporta ligação durante todo o tempo. O que tem é uma via de saída, não uma via de regresso: o túnel transporta o seu tráfego para a internet e para aí. Para alcançar um dispositivo dentro da sua própria LAN é precisa uma sessão que termine em algo com uma rota para lá. É uma decisão de conceção, não uma definição, e determina se o resto do trabalho é sequer possível.

A distinção perde-se facilmente porque um único produto pode desempenhar as duas tarefas. Um cliente de saída comercial e um servidor de acesso remoto podem falar o mesmo protocolo na mesma porta, e a diferença está em que lado detém o espaço de endereços por trás do ponto final.

Que lado do túnel detém a LAN

Para administração, o ponto final tem de estar dentro da rede a que quer chegar, ou ter um caminho autorizado para lá. Um router que executa o seu próprio servidor VPN cumpre o requisito; um pequeno anfitrião sempre ligado com endereço fixo e uma rota para a LAN também. Um serviço de saída operado por terceiros não cumpre, porque o seu ponto final não tem interface na sua LAN nem regra que permitisse que uma aparecesse. É esta a verificação a concluir antes de tocar em qualquer outra coisa.

O firmware raramente rotula essa diferença, por isso leia o que a funcionalidade faz e não o protocolo que nomeia. WireGuard, OpenVPN e IKEv2 aparecem nos dois lados do mercado: uma compilação envia o tráfego doméstico para fora, outra aceita o seu dispositivo remoto. Uma compilação só de cliente não pode ser transformada em servidor por configuração, independentemente da formulação do menu.

Fazer existir a rota de regresso

Um servidor WireGuard no router tem um endereço de interface como 10.8.0.1/24 e uma entrada de par para o portátil. O cliente decide que destinos envia para o túnel, e uma lista que contém apenas a sub-rede do túnel deixa a LAN invisível, independentemente da configuração do servidor. Ambos os extremos têm de concordar, e normalmente só um deles é editado.

wg show wg0 allowed-ips
ip route get 192.168.1.1

O primeiro comando indica o que cada par pode enviar do ponto de vista do servidor; o segundo indica para onde um endereço da LAN iria realmente no cliente. Um destino da LAN que resolve para a interface do túnel é encaminhamento que funciona, e o que sai pela gateway física nunca chegará, diga o que disser a firewall. Acrescente o prefixo da LAN à lista permitida do cliente e os mesmos dois comandos passam de diagnóstico a passo de verificação.

O mesmo salto para gateways IPsec é descrito pela documentação de encaminhamento do strongSwan, onde o encaminhamento e uma regra de NAT de origem ligam um cliente de túnel a um anfitrião interno. O endereçamento difere; o requisito não.

Quem pode abrir a página de administração

O controlo de acesso pertence ao router, não à intenção de ser cuidadoso. Permita apenas a identidade de túnel autenticada ou o intervalo de origem que precisa da página, e leia a própria cadeia de entrada do router e qualquer política de LAN encaminhada. Uma regra que deixa a LAN com fios alcançar a página de administração não diz nada sobre um cliente que chega na interface do túnel. Escreva a exceção para uma identidade concreta e depois mantenha uma segunda identidade que deva ser recusada.

O ouvinte é a outra metade e é invisível na saída da firewall. ss -ltnp mostra o endereço a que o servidor web está ligado, e um serviço ligado apenas ao endereço da LAN não responderá no endereço do túnel, por muito permissivas que sejam as regras. Voltar a ligá-lo ou acrescentar um endereço é uma alteração de configuração no router, não uma alteração de firewall.

Mantenha a autenticação e a validação do transporte ligadas na mesma passagem. Chegar não é confiar, e cada dispositivo dentro de um túnel não se torna por isso administrador. A credencial do túnel e a conta do router são privilégios separados com ciclos de vida separados, pelo que a chave de um portátil perdido pode ser revogada sem repor a palavra-passe de cada administrador.

Testar de fora, não do sofá

Teste a partir de uma rede que não controla. Ligue-se pelo túnel aprovado, abra uma nova sessão de administração e altere algo inofensivo que veja refletido na página. Do sofá está a provar que a LAN funciona, o que nunca esteve em dúvida.

Depois teste as recusas com o mesmo cuidado. Tente a página sem o túnel e confirme que falha, e confirme que o serviço de administração não escuta de todo no endereço WAN. Uma página que apenas não está ligada por hiperligação não é controlo de acesso, e um ouvinte na WAN a mostrar um formulário de início de sessão continua a ser um ouvinte na WAN. Se uma palavra-passe é a única coisa entre a internet e a consola do router, o desenho é uma palavra-passe.

Os serviços domésticos merecem uma olhada enquanto está lá. Aperfeiçoar as regras de gestão quebra muitas vezes a rede de convidados ou o resolver que os dispositivos da família usam, e isso surge dias depois como uma queixa não relacionada.

Manter uma via de regresso enquanto muda coisas

Antes de alterar rotas ou definições do túnel remotamente, prepare uma via de regresso independente. Uma sessão existente pode sobreviver à alteração que já bloqueia novas ligações, e é exatamente assim que as pessoas se fecham de fora enquanto observam uma sessão que ainda funciona. As opções são concretas: um reinício agendado para uma configuração conhecida, acesso por consola ou físico, um segundo túnel que não dependa da definição em edição, ou gestão fora de banda onde o hardware a ofereça. Escolha uma e comprove-a antes da janela de manutenção, não durante.

Mantenha o registo curto e atualizado: que anfitrião termina o túnel, que identidades podem alcançar a página, a que endereço o serviço se liga e como um dispositivo perdido é revogado. Essa lista serve também de plano de recuperação, porque diz onde vive cada dependência. Uma rota de regresso em falta é um problema de encaminhamento a reparar, e nunca é motivo para publicar administração na WAN.