Arrini në faqen e administratorit të routerit përmes VPN, jo përmes WAN

Faqja e administratorit e routerit hapet për dy sekonda nga divani dhe skadon nga një dhomë hoteli, ndërsa klienti VPN raporton vazhdimisht se është i lidhur. Ajo që keni është një rrugë daljeje, jo një rrugë kthimi: tuneli e çon trafikun tuaj në internet dhe ndalet aty. Për të arritur një pajisje brenda LAN-it tuaj duhet një sesion që përfundon në diçka me një rrugë drejt tij. Ky është një vendim dizajni, jo një cilësim, dhe përcakton nëse pjesa tjetër e punës është fare e mundur.

Ky dallim humbet lehtë sepse një produkt mund të bëjë të dyja punët. Një klient daljeje komercial dhe një server aksesi në distancë mund të flasin të njëjtin protokoll në të njëjtin port, dhe dallimi është cila anë zotëron hapësirën e adresave pas pikës fundore.

Cila anë e tunelit zotëron LAN-in

Për administrim, pika fundore duhet të jetë brenda rrjetit që dëshironi të arrini, ose të ketë një rrugë të autorizuar drejt tij. Një router që drejton serverin e vet VPN e plotëson kushtin; edhe një host i vogël gjithmonë i ndezur me adresë fikse dhe rrugë drejt LAN-it. Një shërbim daljeje i drejtuar nga një palë e tretë nuk e plotëson, sepse pika e tij fundore nuk ka ndërfaqe në LAN-in tuaj dhe asnjë rregull që do të lejonte shfaqjen e një të tillë. Ky është kontrolli që duhet përfunduar përpara se të prekni çdo gjë tjetër.

Firmware-i rrallë e etiketon atë dallim, prandaj lexoni çfarë bën funksioni, jo çfarë protokolli emërton. WireGuard, OpenVPN dhe IKEv2 shfaqen të dyja anët e tregut: një ndërtim dërgon trafikun shtëpiak jashtë, një tjetër pranon pajisjen tuaj në distancë. Një ndërtim vetëm-klient nuk mund të shndërrohet në server me konfigurim, si të jetë formuluar menuja.

Ta bëjmë rrugën e kthimit të ekzistojë

Një server WireGuard në router ka një adresë ndërfaqeje si 10.8.0.1/24 dhe një regjistrim peer për laptopin. Klienti vendos cilat destinacione dërgon në tunel, dhe një listë që përmban vetëm nënrrjetin e tunelit e lë LAN-in të padukshëm, sido që të jetë konfiguruar serveri. Të dy skajet duhet të bien dakord, dhe zakonisht redaktohet vetëm njëri prej tyre.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Komanda e parë raporton çfarë lejohet të dërgojë çdo peer nga këndvështrimi i serverit; e dyta raporton ku do të shkonte vërtet një adresë e LAN-it në klient. Një destinacion i LAN-it që zgjidhet në ndërfaqen e tunelit është rrugëtim që funksionon, dhe ai që del përmes portës fizike nuk arrin kurrë, çfarëdo që thotë firewalling. Shtoni prefiksin e LAN-it në listën e lejuar të klientit dhe të njëjtat dy komanda bëhen hap verifikimi në vend të diagnozës.

Të njëjtin kërcim për portat IPsec e përshkruan dokumentacioni i strongSwan për përcjelljen, ku përcjellja dhe një rregull source-NAT lidhin një klient tuneli me një host të brendshëm. Adresimi ndryshon; kërkesa jo.

Kush mund të hapë faqen e administratorit

Kontrolli i aksesit i takon routerit, jo qëllimit për të qenë i kujdesshëm. Lejoni vetëm identitetin e vërtetuar të tunelit ose intervalin e burimit që ka nevojë për faqen, dhe lexoni zinxhirin e vetë hyrjes të routerit si dhe çdo politikë LAN të përcjellë. Një rregull që lejon LAN-in me kabllo të arrijë faqen e administratorit nuk thotë asgjë për një klient që vjen në ndërfaqen e tunelit. Shkruani përjashtimin për një identitet të caktuar, më pas mbani një identitet të dytë që duhet të refuzohet.

Dëgjuesi është gjysma tjetër dhe është i padukshëm në daljen e firewall-it. ss -ltnp tregon adresën ku është i lidhur serveri web, dhe një shërbim i lidhur vetëm me adresën e LAN-it nuk do të përgjigjet në adresën e tunelit, sado lejuese të jenë rregullat. Rilidhja e tij ose shtimi i një adrese është ndryshim konfigurimi në router, jo ndryshim firewall-i.

Mbani vërtetimin dhe validimin e transportit të ndezur në të njëjtin kalim. Të arrish nuk është besim, dhe çdo pajisje brenda një tuneli nuk bëhet me kaq administrator. Kredencialet e tunelit dhe llogaria e routerit janë privilegje të veçanta me cikle jete të veçanta, kështu që çelësi i një laptopi të humbur mund të revokohet pa rivendosur fjalëkalimin e çdo administratori.

Testoni nga jashtë, jo nga divani

Testoni nga një rrjet që nuk e kontrolloni. Lidhuni përmes tunelit të miratuar, hapni një sesion të ri administrimi dhe ndryshoni diçka të padëmshme që e shihni të pasqyruar në faqe. Nga divani po provoni se LAN-i funksionon, gjë që nuk u vu kurrë në dyshim.

Më pas testoni refuzimet me të njëjtin kujdes. Provoni faqen pa tunelin dhe konfirmoni që dështon, dhe konfirmoni që shërbimi i administrimit nuk dëgjon fare në adresën WAN. Një faqe që thjesht nuk është e lidhur nuk është kontroll aksesi, dhe një dëgjues në WAN që shfaq një formular hyrjeje mbetet dëgjues në WAN. Nëse një fjalëkalim është e vetmja gjë midis internetit dhe konsolës së routerit, dizajni është një fjalëkalim.

Shërbimet shtëpiake meritojnë një vështrim ndërsa jeni atje. Shtrëngimi i rregullave të menaxhimit shpesh prish rrjetin e mysafirëve ose zgjidhësin që përdorin pajisjet e familjes, dhe kjo shfaqet ditë më vonë si një ankesë e palidhur.

Të mbash një rrugë kthimi ndërsa ndryshon gjëra

Përpara se të ndryshoni rrugë ose cilësime të tunelit nga distanca, përgatitni një rrugë kthimi të pavarur. Një sesion ekzistues mund t’i mbijetojë ndryshimit që tashmë bllokon lidhjet e reja, dhe pikërisht kështu njerëzit mbyllen jashtë duke shikuar një sesion që ende funksionon. Opsionet janë konkrete: një rindezje e planifikuar në një konfigurim të njohur, akses nga konsola ose fizik, një tunel i dytë që nuk varet nga cilësimi që po redaktohet, ose menaxhim jashtë brezit ku hardueri e ofron. Zgjidhni një dhe provojeni përpara dritares së mirëmbajtjes, jo gjatë saj.

Mbani regjistrin të shkurtër dhe të përditësuar: cili host e përfundon tunelin, cilat identitete mund të arrijnë faqen, në cilën adresë lidhet shërbimi dhe si revokohet një pajisje e humbur. Ai listë shërben edhe si plan rikuperimi, sepse thotë ku jeton çdo varësi. Një rrugë kthimi që mungon është problem rrugëtimi për t’u riparuar, dhe nuk është kurrë arsye për të publikuar administrimin në WAN.