Do skrbniške strani usmerjevalnika prek VPN, ne prek WAN

Skrbniška stran usmerjevalnika se odpre v dveh sekundah s kavča, iz hotelske sobe pa poteče čas, medtem ko odjemalec VPN ves čas poroča, da je povezan. Kar imate, je pot navzven, ne pot nazaj: tunel nosi vaš promet v internet in se tam ustavi. Za dosego naprave v vašem lastnem LAN-u je potrebna seja, ki se konča na nečem s potjo tja. To je oblikovalska odločitev, ne nastavitev, in določa, ali je preostalo delo sploh mogoče.

To razliko je lahko izgubiti, ker lahko en izdelek opravi obe nalogi. Komercialni izhodni odjemalec in strežnik za oddaljeni dostop lahko govorita isti protokol na istih vratih, razlika pa je, katera stran ima naslovni prostor za končno točko.

Katera stran tunela ima LAN

Za upravljanje mora končna točka ležati v omrežju, ki ga želite doseči, ali imeti vanj pooblaščeno pot. Usmerjevalnik, ki poganja svoj strežnik VPN, izpolnjuje pogoj; tudi majhen stalno vklopljen gostitelj s fiksnim naslovom in potjo v LAN. Izhodna storitev, ki jo upravlja tretja stran, pogoja ne izpolnjuje, ker njena končna točka nima vmesnika v vašem LAN-u in nobenega pravila, ki bi takemu omogočilo pojavitev. To je preverjanje, ki ga je treba dokončati, preden se dotaknete česar koli drugega.

Vdelana programska oprema to razliko redko označi, zato berite, kaj funkcija počne, in ne, kateri protokol navaja. WireGuard, OpenVPN in IKEv2 se pojavljajo na obeh straneh trga: ena različica pošilja gospodinjski promet navzven, druga sprejme vašo oddaljeno napravo. Različice samo za odjemalca ni mogoče s konfiguracijo spremeniti v strežnik, ne glede na besedilo menija.

Ustvariti povratno pot

Strežnik WireGuard na usmerjevalniku ima naslov vmesnika, kot je 10.8.0.1/24, in vnos partnerja za prenosnik. Odjemalec odloči, katere cilje pošlje v tunel, seznam, ki vsebuje samo podmrežo tunela, pa pusti LAN neviden, ne glede na to, kako je strežnik konfiguriran. Oba konca se morata strinjati, običajno pa se ureja le eden od njiju.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Prvi ukaz sporoča, kaj sme vsak partner pošiljati s stališča strežnika; drugi sporoča, kam bi naslov iz LAN-a na odjemalcu v resnici šel. Cilj v LAN-u, ki se razreši na vmesnik tunela, je delujoče usmerjanje, tisti, ki gre skozi fizični prehod, pa nikoli ne prispe, karkoli pravi požarni zid. Dodajte predpono LAN na odjemalčev seznam dovoljenih in ista dva ukaza postaneta korak preverjanja namesto diagnoze.

Isti skok za prehode IPsec opisuje dokumentacija strongSwan o posredovanju, kjer posredovanje in pravilo source-NAT povežeta odjemalca tunela z notranjim gostiteljem. Naslavljanje se razlikuje; zahteva ne.

Kdo lahko odpre skrbniško stran

Nadzor dostopa spada na usmerjevalnik, ne v namero, da bomo previdni. Dovolite le overjeni identiteti tunela ali razponu virov, ki stran potrebuje, in berite lastno vhodno verigo usmerjevalnika ter vsako posredovano politiko LAN. Pravilo, ki ožičenemu LAN-u dovoli doseči skrbniško stran, ne pove ničesar o odjemalcu, ki prihaja na vmesnik tunela. Napišite izjemo za določeno identiteto, nato obdržite drugo identiteto, ki ji je treba zavrniti.

Poslušalec je druga polovica in je neviden v izhodu požarnega zidu. ss -ltnp prikazuje naslov, na katerega je vezan spletni strežnik, in storitev, vezana samo na naslov LAN, ne bo odgovorila na naslovu tunela, ne glede na to, kako dovoljujoča so pravila. Ponovno vezanje ali dodajanje naslova je sprememba konfiguracije na usmerjevalniku, ne sprememba požarnega zidu.

Ohranite preverjanje pristnosti in preverjanje prenosa vklopljeno v istem prehodu. Dosegljivost še ni zaupanje in vsaka naprava znotraj tunela s tem ne postane skrbnik. Poverilnice tunela in račun usmerjevalnika so ločene pravice z ločenimi življenjskimi cikli, zato je ključ izgubljenega prenosnika mogoče preklicati brez ponastavitve gesla vsakega skrbnika.

Preizkušati od zunaj, ne s kavča

Preizkusite iz omrežja, ki ga ne nadzorujete. Povežite se prek odobrenega tunela, odprite novo skrbniško sejo in spremenite nekaj neškodljivega, kar vidite zrcaljeno na strani. S kavča dokazujete, da LAN deluje, kar nikoli ni bilo dvomljivo.

Nato z enako skrbnostjo preizkusite zavrnitve. Poskusite stran brez tunela in potrdite, da ne uspe, ter potrdite, da skrbniška storitev sploh ne posluša na naslovu WAN. Stran, ki le ni povezana, ni nadzor dostopa, poslušalec na WAN-u, ki prikazuje obrazec za prijavo, pa je še vedno poslušalec na WAN-u. Če je geslo edina stvar med internetom in konzolo usmerjevalnika, je oblika geslo.

Gospodinjske storitve si zaslužijo pogled, dokler ste tam. Zaostrovanje pravil upravljanja pogosto pokvari gostiteljsko omrežje ali razreševalnik, ki ga uporabljajo družinske naprave, in to se pojavi dni pozneje kot nepovezana pritožba.

Ohraniti pot nazaj, medtem ko spreminjate stvari

Preden na daljavo spremenite poti ali nastavitve tunela, pripravite neodvisno pot nazaj. Obstoječa seja lahko preživi spremembo, ki že blokira nove povezave, in prav tako se ljudje zaklenejo zunaj, medtem ko gledajo sejo, ki še deluje. Možnosti so konkretne: načrtovan ponovni zagon v znano konfiguracijo, konzolni ali fizični dostop, drugi tunel, neodvisen od nastavitve, ki se ureja, ali upravljanje zunaj pasu, kjer ga strojna oprema ponuja. Izberite eno in jo dokažite pred vzdrževalnim oknom, ne med njim.

Vodite zapis kratko in ažurno: kateri gostitelj zaključi tunel, katere identitete lahko dosežejo stran, na kateri naslov se storitev veže in kako se prekliče izgubljena naprava. Ta seznam služi tudi kot načrt obnovitve, ker pove, kje živi vsaka odvisnost. Manjkajoča povratna pot je težava usmerjanja, ki jo je treba popraviti, in nikoli ni razlog za objavo upravljanja na WAN.