K stránke správy routera cez VPN, nie cez WAN

Stránka správy routera sa otvorí za dve sekundy z gauča a z hotelovej izby vyprší, zatiaľ čo VPN klient celý čas hlási pripojenie. Máte cestu von, nie cestu späť: tunel nesie váš prenos do internetu a tam sa zastaví. Na dosiahnutie zariadenia v vlastnej LAN je potrebná relácia, ktorá sa končí na niečom s cestou do nej. Je to rozhodnutie o dizajne, nie nastavenie, a určuje, či je zvyšok práce vôbec možný.

Tento rozdiel sa dá ľahko stratiť, pretože jeden produkt zvládne obe úlohy. Komerčný výstupný klient a server pre vzdialený prístup môžu hovoriť rovnakým protokolom na rovnakom porte a rozdiel je v tom, ktorá strana vlastní adresný priestor za koncovým bodom.

Ktorá strana tunela vlastní LAN

Na správu musí koncový bod ležať v sieti, do ktorej sa chcete dostať, alebo mať do nej povolenú cestu. Router prevádzkujúci vlastný VPN server vyhovuje; rovnako aj malý stále zapnutý host s pevnou adresou a cestou do LAN. Výstupná služba prevádzkovaná treťou stranou nevyhovuje, pretože jej koncový bod nemá v vašej LAN žiadne rozhranie ani pravidlo, ktoré by mu umožnilo objaviť sa. To je kontrola, ktorú treba dokončiť predtým, než sa dotknete čohokoľvek iného.

Firmvér tento rozdiel málokedy označuje, preto čítajte, čo funkcia robí, nie aký protokol pomenúva. WireGuard, OpenVPN a IKEv2 sa objavujú na oboch stranách trhu: jedna zostava posiela domáci prenos von, druhá prijíma vaše vzdialené zariadenie. Zostavu iba pre klienta nemožno konfiguráciou premeniť na server, nech je menu formulované akokoľvek.

Vytvoriť spätnú cestu

WireGuard server na routeri má adresu rozhrania ako 10.8.0.1/24 a záznam partnera pre notebook. Klient rozhoduje, ktoré ciele pošle do tunela, a zoznam obsahujúci iba podsiet tunela nechá LAN neviditeľnú, nech je server nakonfigurovaný akokoľvek. Obe strany sa musia zhodnúť a zvyčajne sa upravuje iba jedna z nich.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Prvý príkaz hlási, čo smie každý partner odosielať z pohľadu servera; druhý hlási, kam by adresa z LAN na klientovi skutočne išla. Cieľ v LAN, ktorý sa preloží na rozhranie tunela, je fungujúce smerovanie, a ten, ktorý vychádza cez fyzickú bránu, nikdy nedorazí, nech firewall hovorí čokoľvek. Pridajte prefix LAN do povoleného zoznamu klienta a tie isté dva príkazy sa stanú krokom overenia namiesto diagnostiky.

Rovnaký skok pre brány IPsec popisuje dokumentácia strongSwan k presmerovaniu, kde presmerovanie a pravidlo source-NAT spájajú klienta tunela s interným hostom. Adresovanie sa líši; požiadavka nie.

Kto smie otvoriť stránku správy

Riadenie prístupu patrí na router, nie do úmyslu byť opatrný. Povolte len overenú identitu tunela alebo rozsah zdrojov, ktorý stránku potrebuje, a čítajte vlastný vstupný reťazec routera aj akúkoľvek presmerovanú politiku LAN. Pravidlo, ktoré umožňuje káblovej LAN dosiahnuť stránku správy, nehovorí nič o klientovi prichádzajúcom na rozhranie tunela. Napíšte výnimku pre konkrétnu identitu a potom ponechajte druhú identitu, ktorej má byť odmietnuté.

Náslucháč je druhá polovica a vo výstupe firewallu nie je vidieť. ss -ltnp ukazuje adresu, ku ktorej je webový server pripútaný, a služba pripútaná iba k adrese LAN neodpovie na adrese tunela, nech sú pravidlá akokoľvek benevolentné. Pripnúť ju inam alebo pridať adresu je zmena konfigurácie routera, nie zmena firewallu.

Nechajte overovanie a validáciu transportu zapnuté v tom istom prechode. Dostupnosť nie je dôvera a každé zariadenie v tuneli sa tým nestáva správcom. Prihlasovacie údaje tunela a účet routera sú oddelené oprávnenia s oddelenými životnými cyklami, takže kľúč strateného notebooku možno odvolať bez resetovania hesla každého správcu.

Testovať zvonku, nie z gauča

Testujte zo siete, ktorú neovládate. Pripojte sa cez schválený tunel, otvorte novú reláciu správy a zmeňte niečo neškodné, čo uvidíte zobrazené na stránke. Z gauča dokazujete, že LAN funguje, čo nikdy nebolo sporné.

Potom otestujte odmietnutia s rovnakou starostlivosťou. Skúste stránku bez tunela a potvrďte, že zlyhá, a potvrďte, že služba správy vôbec nepočúva na adrese WAN. Stránka, ktorá len nie je prepojená, nie je riadenie prístupu, a náslucháč na WAN zobrazujúci prihlasovací formulár je stále náslucháč na WAN. Ak je heslo jediné medzi internetom a konzolou routera, dizajnom je heslo.

Domáce služby si zaslúžia pohľad, kým ste tam. Sprísnenie pravidiel správy často pokazí hosťovskú sieť alebo resolver, ktorý používajú rodinné zariadenia, a to sa o dni neskôr objaví ako nesúvisiaca sťažnosť.

Zachovať cestu späť, keď niečo meníte

Pred vzdialenou zmenou trás alebo nastavení tunela pripravte nezávislú cestu späť. Existujúca relácia môže prežiť zmenu, ktorá už blokuje nové pripojenia, a presne tak sa ľudia zamknú vonku, keď sledujú reláciu, ktorá ešte funguje. Možnosti sú konkrétne: naplánovaný reštart do známej konfigurácie, konzolový alebo fyzický prístup, druhý tunel nezávislý od upravovaného nastavenia alebo mimosmerové riadenie, kde ho hardvér ponúka. Vyberte jednu a preukážte ju pred oknom údržby, nie počas neho.

Viesť záznam krátky a aktuálny: ktorý host ukončuje tunel, ktoré identity môžu dosiahnuť stránku, ku ktorej adrese sa služba viaže a ako sa odvoláva stratené zariadenie. Ten zoznam slúži aj ako plán obnovy, pretože hovorí, kde žije každá závislosť. Chýbajúca spätná cesta je problém smerovania na opravu a nikdy nie je dôvodom publikovať správu na WAN.