VPN වෙනස්කමකින් පසු රවුටරයේ පරිපාලන පිටුව පිළිතුරු දීම නවත්වන්නේ ඇයි

උමං මාර්ගය පරීක්ෂා කිරීමට ඔබ මාර්ගයක් හෝ ගිනිපවුරු නීතියක් වෙනස් කළා, දැන් මිනිත්තු දහයකට පෙර හොඳින් වැඩ කළ ලැප්ටොප් එකෙන් පරිපාලන පිටුව පිළිතුරු දෙන්නේ නැත. පළමු ප්‍රතිචාරය VPN එකට දොස් කීමයි. බොහෝ විට උමං මාර්ගය නිරෝගී වන අතර අනෙක් තුනෙන් එකක් කැඩී ඇත: රවුටරයේම ලිපිනයට ආපසු යන මාර්ගයක් නැත, ආදාන ප්‍රතිපත්තියක් ඉල්ලීම ඉවතට දමයි, නැතහොත් ඔබ අමතන ලිපිනයේ වෙබ් සේවාවක් සවන් නොදෙයි. තුනම බ්‍රව්සරයේ එකම ආකාරයෙන් පෙනේ, ඒ නිසා මිනිසුන් පැයක් උමං මාර්ගය නැවත අරඹා කිසිවක් ඉගෙන නොගනී.

මුලින්ම මරා දැමිය යුතු මිථ්‍යාව මෙයයි: වැඩ කරන උමං මාර්ගයක් ආපසු ඇතුළට යන මාර්ගයක් නොවේ. එය තමන්ගේම විශ්වාස ප්‍රශ්න සහිත නව ජාල සම්බන්ධතාවයක් වන අතර, කිසිවෙකු පරීක්ෂා නොකළ නව මාර්ගයක් විවෘත කරමින් පැරණි කළමනාකරණ මාර්ගය නිශ්ශබ්දව ඉවත් කළ හැකිය.

උමං මාර්ගය කිසිදා කළමනාකරණ මාර්ගය නොවීය

ඉදිරියට යැවීම සහ ආදානය වෙනස් කාර්යයන් ය. "සේවාදායකයෙකුට උමං මාර්ගය හරහා NAS වෙත ළඟා විය හැකිද?" යනු රවුටරය හරහා යන පැකට් ගැන ඉදිරියට යැවීමේ ප්‍රශ්නයකි. "මට රවුටරයේ SSH තොටුව විවෘත කළ හැකිද?" යනු රවුටරයටම යොමු කළ පැකට් ගැන ආදාන ප්‍රශ්නයකි. ඉදිරියට යවන ලද ගමනාගමනය සඳහා ලියූ අවසර නීතියක් දෙවන ප්‍රශ්නයට කිසිවක් නොකරයි, සහ ගමනාගමනය පරිපූර්ණව රැගෙන යන උමං මාර්ගයක් වුවද ඔබේ පරිපාලන සැසිය ප්‍රතික්ෂේප කිරීමට එයම ප්‍රධාන හේතුවයි.

ප්‍රතිවිරුද්ධ වැරැද්ද වන්නේ අතුරුමුහුණතේ නම විශ්වාස කිරීමයි. උමං මාර්ගය සහකරු දක්වා සංකේතනය වේ, එහි පිටුපස ඇති සෑම සේවාවක් දක්වාම නොවේ, අතුරුමුහුණතේ ලේබලයේ VPN යන වචනය කුමන මූලාශ්‍රවලට පිවිසීමට අවසර දිය යුතුද යන්න ගැන කිසිවක් නොකියයි.

පළමු ස්තරය: රවුටරයේම ලිපිනයට මාර්ගයක් තිබේද?

සේවාදායකයේ ආරම්භ කර පැකට්ටුව කොහේ යයිද කර්නලයෙන් අසන්න. Linux හි ip route get 10.6.0.1 තෝරාගත් මාර්ගය, පිටවන අතුරුමුහුණත සහ මූල ලිපිනය මුද්‍රණය කරයි. එය ඔබේ සේවා සපයන්නා දෙසට පෙරනිමි මාර්ගය වාර්තා කරන්නේ නම්, පැකට්ටුව කිසිදා උමං මාර්ගයට ඇතුළු නොවේ, රවුටරයේ කිසිදු නීතියකට එය බේරා ගත නොහැක.

උමං මාර්ගයේ පැත්තට ප්‍රශ්නයේ තමන්ගේම පිටපතක් ඇත. WireGuard AllowedIPs යනු සංකේතන යතුරු මාර්ගගත කිරීමේ වගුවක් ලෙස සලකයි: සෑම කෙළවරකම සහකරුට භාවිත කළ හැකි මූල ලිපින සහ එම සහකරුට යවන ගමනාන්ත ප්‍රකාශ කරයි. සේවාදායක සටහනේ රවුටරයේ උමං ලිපිනය නොමැති නම්, සේවාදායකයාට එහි මාර්ගයක් නැත. එම සේවාදායකයා සඳහා සේවා සපයන්නාගේ සටහන සේවාදායකයාගේ උමං ලිපිනය ආවරණය නොකරන්නේ නම්, කිසිදු ගිනිපවුරු නීතියක් බැලීමට පෙර සේවා සපයන්නා පැකට්ටුව ඉවතට දමයි.

ප්‍රතිපත්තිය නිදොස් කිරීමට පෙර ඔබ ළඟා වීමට බලාපොරොත්තු වන නිශ්චිත ලිපිනය තහවුරු කරන්න. පැරණි DNS වාර්තාවක් හෝ වෙනසට පෙර සුරකින ලද අසල්වැසි සටහනක් ඔබව රවුටරයට කිසිදා නොතිබූ ලිපිනයකට යවයි.

දෙවන ස්තරය: ආදාන ප්‍රතිපත්තිය, ඉදිරියට යැවීමේ ප්‍රතිපත්තිය නොවේ

ගිනිපවුරු පැකට්ටුව පැමිණෙන අතුරුමුහුණතේ නීති ඇගයයි. pfSense සහ OPNsense හි අතුරුමුහුණතේ පටිත්ත සහ නීති අනුපිළිවෙල ගිනිපවුරේම සේවාවන්ට ගමනාගමනයට අවසර තිබේද යන්න තීරණය කරයි; LAN සේවාදායකයන් අන්තර්ජාලයට යැවීමට ඉඩ දෙන නීතිය උමං සහකරුට වෙබ් GUI විවෘත කිරීමට ඉඩ දෙන නීතිය නොවේ. firewall4 සහිත OpenWrt හි සෑම කලාපයක්ම ආදාන ප්‍රතිපත්තියක් දරයි, option input 'ACCEPT' හෝ 'REJECT', ආදානය REJECT වන කලාපයේ උමං අතුරුමුහුණත පරිපාලන සම්බන්ධතා ප්‍රතික්ෂේප කරන අතර, ඉදිරියට යැවීමට අවසර ඇත්නම් ගමනාගමනය තවමත් ඉදිරියට යවයි.

නව මාර්ගය වැඩ කිරීමට ඇන්ටි-ලොක්අවුට් නීතිය අක්‍රීය නොකරන්න. එම නීතිය නරක නීතියකට LAN පරිපාලන ලිපිනය අගුළු දැමීමට ඉඩ නොදේ; එය LAN උපජාලය ආරක්ෂා කරයි, ඔබ දැන් සෑදූ උමං උපජාලය නොවේ. පරිපාලකයාගේ මූලය සඳහා එක් පටු නීතියක් එකතු කර ආරක්ෂක දැල නොසලකා හරින්න. pfSense හි පරිපාලක ප්‍රවේශ ලේඛනය එම පාලන කොහේද යන්න පැහැදිලි කරයි.

# on the router: bind addresses and the loaded ruleset
ss -ltnp | grep -E ':(22|80|443)\b'         # Linux / OpenWrt
sockstat -4 -l | grep -E ':(22|80|443)\b'   # FreeBSD / pfSense
nft list ruleset | grep -A6 'chain input'    # firewall4
pfctl -sr | head -40                         # pf / pfSense

තුන්වන ස්තරය: එම ලිපිනයේ යමක් සවන් දෙනවාද?

සේවාවක් ක්‍රියාත්මක වුවත් එක් ලිපිනයකට බැඳී ඇති නිසා ළඟා විය නොහැකි විය හැක. OpenWrt හි uhttpd /etc/config/uhttpd තුළ පැහැදිලි ශ්‍රවණ සටහන් තබා ගනී, උදාහරණයක් ලෙස list listen_http '0.0.0.0:80'; LAN ලිපිනයට පමණක් බැඳෙන නිර්මාණයක් උමං ලිපිනයේ කිසිවක් පිළිගන්නේ නැත, ශ්‍රවණ අතුරුමුහුණත් සැකසුමක් පෙන්වන නිෂ්පාදන ද එලෙසම හැසිරේ. ඉහත ශ්‍රවණ විධාන මෙයට සෘජුවම පිළිතුරු දෙයි.

පසුව ප්‍රතික්ෂේපය නිශ්ශබ්දතාවයෙන් වෙන් කරන්න. nc -vz 10.6.0.1 443 ප්‍රතික්ෂේප කළ සම්බන්ධතාවක් ආපසු දෙන්නේ නම්, පැකට්ටුව රවුටරයට ළඟා වී යමක් එය ප්‍රතික්ෂේප කළ බවයි, වැසුණු තොටුවක් හෝ පැහැදිලි ප්‍රතික්ෂේප නීතියක්. කාල සීමාව දක්වා එල්ලී තිබීම යනු පැකට්ටුව ඉවතට දමා ඇති බව හෝ කිසිදා මාර්ගගත නොකළ බවයි. එම වෙනස මීළඟට කුමන ස්තරය පරීක්ෂා කළ යුතුද යන්න කියයි, එයට තත්පර පහක් ගත වේ.

VPN අතුරුමුහුණතක් යනු මායිමක් මිස ප්‍රතිසාධන මාර්ගයක් නොවේ

සංකේතනය රැහැන ආරක්ෂා කරයි; පරිපාලන පිටුව කවුරුන්ට විවෘත කළ හැකිද යන්න ගැන එය කිසිවක් නොකියයි. උමං මාර්ගය ක්‍රියාත්මක වූ පසු උමං අතුරුමුහුණතේ සියල්ලට අවසර දී ළඟා වීමේ ගැටලුව විසඳීමට ඇති ආශාවට එරෙහි වන්න. පරිපාලකයන්ට ඔවුන්ගේම උමං ලිපිනයට බැඳුණු නීතියක් හෝ වෙනම පරිපාලක-පමණක් උමං මාර්ගයක් දෙන්න, සාමාන්‍ය පරිශීලකයන්, NAS, කැමරා සහ පවුලේ ලැප්ටොප් පරිපාලන තොටුවෙන් ඈත් කර තබන්න. ගොනු බෙදාගැනීමක් අවශ්‍ය සහකරුවෙකු රවුටරයට පිවිසීමෙන් එක් නීතියක් ඈතින් පවා නොසිටිය යුතුය.

රවුටරයේ භූමිකාව පිළිතුර වෙනස් කරයි. උමං මාර්ගය අවසන් කරන රවුටරයකට එයින් පරිපාලකයන් නීත්‍යානුකූලව පිළිගත හැකිය, එහෙත් උමං මාර්ගය අන්තර්ජාල පිටවීමක් ලෙස පමණක් භාවිත කරන රවුටරයක් සාමාන්‍යයෙන් එසේ නොකළ යුතුය. දෙක්හිම උපජාල අවසරය පිවිසීම නොවේ, එබැවින් ගිණුම් සත්‍යාපනය සහ ප්‍රවාහන ආරක්ෂාව සක්‍රීයව තබන්න.

අගුළු දැමීමෙන් පසු මිනිසුන් ගන්නා වන්දි පියවර වඩාත් නරකයි: WAN පරිපාලනය සක්‍රීය කිරීම හෝ තොටුවක් වෙබ් GUI වෙත යැවීම. එය කෙටි බාධාවක් ස්ථිර නිරාවරණයක් බවට පත් කරයි, පිවිසුම් පිටුව එවිට අන්තර්ජාලයේ සෑම ස්කෑනරයකටම ළඟා විය හැකි වේ. අවසර දුන් පැත්ත මෙන්ම ප්‍රතික්ෂේප කළ පැත්ත ද පරීක්ෂා කරන්න, එවිට පරිපාලන ප්‍රවේශය නොතිබිය යුතු සහකරුවෙකුට පිවිසුම් ඉල්ලීමක් වෙනුවට කාල සීමාවක් හෝ ප්‍රතික්ෂේපයක් ලැබේ.

නව සම්බන්ධතාවකින් ද පරීක්ෂා කරන්න. තත්ව සහිත ගිනිපවුරක් පවත්නා ප්‍රවාහ තම තත්ව වගුවේ තබා ගනී, එබැවින් ඔබ දැනටමත් විවෘත කර ඇති SSH සැසිය සෑම නව සම්බන්ධතාවක්ම අවහිර කරන වෙනසකින් දිවි ගලවා ගත හැක. එසේ අගුළු දැමීම මීළඟ නැවත ඇරඹීම හෝ ලැප්ටොප්හි මීළඟ නින්ද දක්වා නොපෙනී පවතී.

ප්‍රතිපත්තිය ස්පර්ශ කිරීමට පෙර ආපසු යන මාර්ගය සූදානම් කරන්න

පළමු වෙනසට පෙර කරුණු හතරක් ලියන්න: උමං මාර්ගය මිය ගියොත් ඔබ උපාංගයට ළඟා වන ආකාරය, උදාහරණයක් ලෙස අනුක්‍රමික කොන්සෝලයක්, සැපයුම්කරුගේ කොන්සෝලයක් හෝ LAN හි යන්ත්‍රයක්; වර්තමාන වින්‍යාසය කොහේට අපනයනය වේද; ඔබ වෙනස් කිරීමට යන එකම නීතිය හෝ මාර්ගය; සහ එම අයිතමය හරියටම ආපසු ගන්නේ කෙසේද. OpenWrt හි sysupgrade -b /tmp/backup.tar.gz වින්‍යාසය ග්‍රහණය කරයි, සංස්කරණ uci commit දක්වා රැඳී පවතී, එය කල්තියා දැනගත්තොත් ලාභදායී ආපසු හැරවීමක් ලබා දෙයි. pfSense වින්‍යාස ඉතිහාසයක් තබා ගනී, AutoConfigBackup උපකාරී වන්නේ එය දැනටමත් සක්‍රීය නම් පමණි. රවුටරය fail-closed නීති කට්ටලයක් ධාවනය කරන්නේ නම්, ඔබ සැලසුම් කළ නඩත්තු මාර්ගය එම නීතිය අවහිර කරන ගමනාගමනය තුළ නොමැති බව තහවුරු කරන්න, නැවත ඇරඹීම ස්ථිර නීති මකා දැමීම වෙනුවට නැවත යොදන බව මතක තබා ගන්න.

එක් උත්සාහයකට එක් මායිමක් වෙනස් කරන්න, පසුව විවෘතව තබා ඇති ෂෙල් වෙනුවට නව සම්බන්ධතාවකින් පරීක්ෂා කරන්න. පරීක්ෂණය අසාර්ථක නම් මීළඟ ස්තරය ස්පර්ශ කිරීමට පෙර එම එක් වෙනස ආපසු හරවන්න. උමං මාර්ගය සෑම විටම ඉහළින් තිබිය හැක, නමුත් එහි කොළ පැහැති තත්ව නිරූපකය ඔබට තවමත් ඇතුළු විය හැකි බවට සාක්ෂියක් නොවේ.

පිටවීමට පෙර ඉක්මන් පරීක්ෂාව:

• ඔබ දැන් සංස්කරණය කළ නීතිය මත රඳා නොපවතින මූලාශ්‍රයකින් රවුටරයට ළඟා විය හැකිද?
• උමං අතුරුමුහුණතේ ආදාන ප්‍රතිපත්තිය පරිපාලකයාගේ මූලයට පමණක් අවසර දෙන්නේද?
• පරිපාලන සේවාව උමං මාර්ගයේ පවතින ලිපිනයකට බැඳී තිබේද?
• ඔබ ප්‍රතික්ෂේප කළ සහකරුවෙකු සහ නව සැසියක් පරීක්ෂා කර තිබේද?
• WAN පරිපාලන මතුපිට තවමත් වැසී තිබේද?