Доступ к странице администрирования роутера через VPN, а не через WAN

Страница администрирования роутера открывается за две секунды с дивана и упирается в тайм-аут из гостиничного номера, хотя клиент VPN всё это время сообщает о подключении. У вас есть путь наружу, а не путь обратно: туннель несёт ваш трафик в интернет и там останавливается. Чтобы добраться до устройства внутри собственной локальной сети, нужна сессия, которая заканчивается на чём-то, имеющем маршрут туда. Это проектное решение, а не настройка, и оно определяет, возможна ли остальная работа вообще.

Эта разница легко теряется, потому что один продукт может выполнять обе задачи. Коммерческий клиент выхода и сервер удалённого доступа могут говорить по одному протоколу на одном порту, а разница в том, какая сторона владеет адресным пространством за конечной точкой.

Какая сторона туннеля владеет локальной сетью

Для администрирования конечная точка должна находиться внутри сети, до которой вы хотите добраться, или иметь в неё разрешённый путь. Роутер с собственным сервером VPN подходит; подходит и небольшой постоянно включённый хост с фиксированным адресом и маршрутом в локальную сеть. Служба выхода, которой управляет третья сторона, не подходит, потому что у её конечной точки нет интерфейса в вашей локальной сети и нет правила, которое позволило бы ему появиться. Это проверка, которую нужно закончить, прежде чем трогать что-либо ещё.

Прошивка редко обозначает эту разницу, поэтому читайте, что делает функция, а не какой протокол она называет. WireGuard, OpenVPN и IKEv2 встречаются по обе стороны рынка: одна сборка отправляет домашний трафик наружу, другая принимает ваше удалённое устройство. Сборку только для клиента нельзя превратить в сервер настройкой, как бы ни был сформулирован интерфейс.

Сделать обратный маршрут существующим

У сервера WireGuard на роутере есть адрес интерфейса вроде 10.8.0.1/24 и запись пира для ноутбука. Клиент решает, какие назначения отправлять в туннель, а список, содержащий только подсеть туннеля, оставляет локальную сеть невидимой, как бы ни был настроен сервер. Обе стороны должны договориться, и обычно правится только одна из них.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Первая команда сообщает, что каждому пиру разрешено отправлять с точки зрения сервера; вторая — куда адрес из локальной сети действительно пойдёт на клиенте. Адрес назначения из локальной сети, который разрешается в интерфейс туннеля, — это работающая маршрутизация, а тот, что уходит через физический шлюз, никогда не придёт, что бы ни говорил межсетевой экран. Добавьте префикс локальной сети в разрешённый список клиента, и те же две команды станут шагом проверки вместо диагностики.

Тот же переход для шлюзов IPsec описывает документация strongSwan о пересылке, где пересылка и правило source-NAT соединяют клиента туннеля с внутренним хостом. Адресация отличается; требование — нет.

Кто может открывать страницу администрирования

Управление доступом принадлежит роутеру, а не намерению быть осторожным. Разрешайте только аутентифицированной личности туннеля или диапазону источников, которому нужна страница, и читайте собственную цепочку входа роутера, а также любую пересылаемую политику локальной сети. Правило, позволяющее проводной локальной сети достигать страницы администрирования, ничего не говорит о клиенте, приходящем на интерфейс туннеля. Напишите исключение для конкретной личности, а затем сохраните вторую личность, которой должно быть отказано.

Слушатель — это вторая половина, и он невидим в выводе межсетевого экрана. ss -ltnp показывает адрес, к которому привязан веб-сервер, а служба, привязанная только к адресу локальной сети, не ответит по адресу туннеля, как бы разрешающе ни были настроены правила. Перепривязать её или добавить адрес — это изменение конфигурации на роутере, а не изменение межсетевого экрана.

Держите аутентификацию и проверку транспорта включёнными за один проход. Доступность — ещё не доверие, и каждое устройство внутри туннеля не становится от этого администратором. Учётные данные туннеля и учётная запись роутера — отдельные привилегии с отдельными жизненными циклами, поэтому ключ потерянного ноутбука можно отозвать, не сбрасывая пароль каждого администратора.

Проверять снаружи, а не с дивана

Проверяйте из сети, которой вы не управляете. Подключитесь через одобренный туннель, откройте новую сессию администрирования и измените что-то безобидное, что увидите отражённым на странице. С дивана вы доказываете, что локальная сеть работает, а это никогда не вызывало сомнений.

Затем проверьте отказы с той же тщательностью. Попробуйте страницу без туннеля и убедитесь, что она не открывается, и убедитесь, что служба администрирования вообще не слушает на адресе WAN. Страница, которая просто не связана ссылкой, — не управление доступом, а слушатель на WAN, показывающий форму входа, остаётся слушателем на WAN. Если пароль — единственное, что стоит между интернетом и консолью роутера, то проектом является пароль.

Домашние службы заслуживают взгляда, пока вы там. Ужесточение правил управления часто ломает гостевую сеть или резолвер, которым пользуются семейные устройства, и это всплывает через дни как не связанная жалоба.

Сохранять путь назад, пока вы что-то меняете

Прежде чем менять маршруты или настройки туннеля удалённо, подготовьте независимый путь назад. Существующая сессия может пережить изменение, которое уже блокирует новые подключения, и именно так люди запирают себя снаружи, глядя на сессию, которая всё ещё работает. Варианты конкретны: запланированная перезагрузка в известную конфигурацию, доступ через консоль или физически, второй туннель, не зависящий от редактируемой настройки, либо внешнее управление, если оборудование его предлагает. Выберите один и докажите его до окна обслуживания, а не во время него.

Держите запись короткой и актуальной: какой хост завершает туннель, какие личности могут достигать страницы, к какому адресу привязана служба и как отзывается потерянное устройство. Этот список служит и планом восстановления, потому что говорит, где живёт каждая зависимость. Отсутствующий обратный маршрут — это проблема маршрутизации, которую нужно исправить, и она никогда не является поводом публиковать администрирование в WAN.