Ajungeți la pagina de administrare a routerului prin VPN, nu prin WAN

Pagina de administrare a routerului se deschide în două secunde de pe canapea și expiră dintr-o cameră de hotel, în timp ce clientul VPN raportează tot timpul că este conectat. Ce aveți este o cale de ieșire, nu o cale de întoarcere: tunelul duce traficul la internet și se oprește acolo. Pentru a ajunge la un dispozitiv din propriul LAN este nevoie de o sesiune care se termină pe ceva cu o rută către el. Este o decizie de proiectare, nu o setare, și determină dacă restul lucrării este posibil.

Distincția se pierde ușor pentru că un singur produs poate face ambele lucruri. Un client de ieșire comercial și un server de acces la distanță pot vorbi același protocol pe același port, iar diferența este care parte deține spațiul de adrese din spatele punctului final.

Care parte a tunelului deține LAN-ul

Pentru administrare, punctul final trebuie să fie în rețeaua la care vreți să ajungeți sau să aibă o cale autorizată către ea. Un router care rulează propriul server VPN îndeplinește condiția; la fel și un mic host pornit permanent, cu adresă fixă și rută către LAN. Un serviciu de ieșire operat de o terță parte nu o îndeplinește, pentru că punctul său final nu are interfață în LAN-ul dvs. și nici o regulă care ar permite apariția uneia. Aceasta este verificarea de încheiat înainte de a atinge orice altceva.

Firmware-ul etichetează rar această diferență, așa că citiți ce face funcția, nu ce protocol numește. WireGuard, OpenVPN și IKEv2 apar pe ambele părți ale pieței: o versiune trimite traficul casnic în afară, alta acceptă dispozitivul dvs. la distanță. O versiune doar pentru client nu poate fi transformată în server prin configurație, oricum ar fi formulat meniul.

A face ruta de întoarcere să existe

Un server WireGuard pe router are o adresă de interfață precum 10.8.0.1/24 și o intrare de peer pentru laptop. Clientul decide ce destinații trimite în tunel, iar o listă care conține doar subrețeaua tunelului lasă LAN-ul invizibil, indiferent cum este configurat serverul. Ambele capete trebuie să fie de acord, iar de obicei se editează doar unul dintre ele.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Prima comandă raportează ce are voie să trimită fiecare peer din perspectiva serverului; a doua raportează unde ar merge de fapt o adresă din LAN pe client. O destinație din LAN care se rezolvă către interfața tunelului este rutare care funcționează, iar cea care iese prin gateway-ul fizic nu va ajunge niciodată, orice ar spune firewall-ul. Adăugați prefixul LAN la lista permisă a clientului și aceleași două comenzi devin un pas de verificare în loc de un diagnostic.

Același salt pentru gateway-urile IPsec este descris de documentația strongSwan privind forwarding-ul, unde forwarding-ul și o regulă source-NAT leagă un client de tunel de un host intern. Adresarea diferă; cerința nu.

Cine poate deschide pagina de administrare

Controlul accesului aparține routerului, nu intenției de a fi prudent. Permiteți doar identității tunelului autentificate sau intervalului de sursă care are nevoie de pagină, și citiți propriul lanț de intrare al routerului, precum și orice politică LAN redirecționată. O regulă care lasă LAN-ul cu cablu să ajungă la pagina de administrare nu spune nimic despre un client care sosește pe interfața tunelului. Scrieți excepția pentru o identitate anume, apoi păstrați o a doua identitate care trebuie refuzată.

Ascultătorul este cealaltă jumătate și este invizibil în ieșirea firewall-ului. ss -ltnp arată adresa la care este legat serverul web, iar un serviciu legat doar de adresa LAN nu va răspunde pe adresa tunelului, oricât de permisive ar fi regulile. Relegarea lui sau adăugarea unei adrese este o schimbare de configurație pe router, nu o schimbare de firewall.

Țineți autentificarea și validarea transportului pornite în aceeași trecere. A ajunge nu înseamnă a avea încredere, iar fiecare dispozitiv dintr-un tunel nu devine prin asta administrator. Acreditările tunelului și contul routerului sunt privilegii separate cu cicluri de viață separate, așa că cheia unui laptop pierdut poate fi revocată fără a reseta parola fiecărui administrator.

Testați din exterior, nu de pe canapea

Testați dintr-o rețea pe care nu o controlați. Conectați-vă prin tunelul aprobat, deschideți o sesiune de administrare nouă și schimbați ceva inofensiv pe care îl vedeți reflectat în pagină. De pe canapea demonstrați că LAN-ul funcționează, lucru care nu a fost niciodată pus la îndoială.

Apoi testați refuzurile cu aceeași grijă. Încercați pagina fără tunel și confirmați că eșuează, și confirmați că serviciul de administrare nu ascultă deloc pe adresa WAN. O pagină care doar nu este legată nu este control de acces, iar un ascultător pe WAN care afișează un formular de autentificare rămâne un ascultător pe WAN. Dacă o parolă este singurul lucru dintre internet și consola routerului, proiectarea este o parolă.

Serviciile casnice merită o privire cât timp sunteți acolo. Înăsprirea regulilor de administrare strică adesea rețeaua pentru oaspeți sau resolverul folosit de dispozitivele familiei, iar asta apare zile mai târziu ca o reclamație fără legătură.

Păstrarea unei căi de întoarcere în timp ce schimbați lucruri

Înainte de a schimba rute sau setări ale tunelului de la distanță, pregătiți o cale de întoarcere independentă. O sesiune existentă poate supraviețui schimbării care deja blochează conexiunile noi, și exact așa se încuie oamenii afară uitându-se la o sesiune care încă funcționează. Opțiunile sunt concrete: o repornire programată către o configurație cunoscută, acces prin consolă sau fizic, un al doilea tunel care nu depinde de setarea editată, sau administrare out-of-band unde hardware-ul o oferă. Alegeți una și demonstrați-o înainte de fereastra de mentenanță, nu în timpul ei.

Țineți evidența scurtă și actuală: ce host termină tunelul, ce identități pot ajunge la pagină, la ce adresă se leagă serviciul și cum este revocat un dispozitiv pierdut. Acea listă servește și ca plan de recuperare, pentru că spune unde locuiește fiecare dependență. O rută de întoarcere lipsă este o problemă de rutare de reparat și nu este niciodată un motiv pentru a publica administrarea în WAN.