Приступ административној страници рутера преко VPN-а, а не преко WAN-а

Административна страница рутера се отвара за две секунде са кауча и истиче из хотелске собе, док VPN клијент све време пријављује везу. Оно што имате је пут напоље, а не пут назад: тунел носи ваш саобраћај на интернет и ту се зауставља. Да бисте стигли до уређаја у свом LAN-у, потребна је сесија која се завршава на нечему са рутом до њега. То је дизајнерска одлука, а не подешавање, и она одређује да ли је остатак посла уопште могућ.

Ову разлику је лако изгубити јер један производ може да обави оба посла. Комерцијални клијент излаза и сервер за даљински приступ могу да говоре исти протокол на истом порту, а разлика је која страна поседује адресни простор иза крајње тачке.

Која страна тунела поседује LAN

За администрацију крајња тачка мора да буде у мрежи којој желите да приступите или да има овлашћен пут до ње. Рутер који покреће сопствени VPN сервер испуњава услов; исто и мали стално укључен домаћин са фиксном адресом и рутом до LAN-а. Излазна услуга којом управља трећа страна не испуњава га, јер њена крајња тачка нема интерфејс на вашем LAN-у ни правило које би омогућило да се појави. Ово је провера коју треба довршити пре него што дотакнете било шта друго.

Фирмвер ретко означава ту разлику, па читајте шта функција ради, а не који протокол наводи. WireGuard, OpenVPN и IKEv2 појављују се на обе стране тржишта: једна верзија шаље кућни саобраћај напоље, друга прихвата ваш удаљени уређај. Верзија само за клијента не може се конфигурацијом претворити у сервер, како год мени био састављен.

Створити повратну руту

WireGuard сервер на рутеру има адресу интерфејса попут 10.8.0.1/24 и запис партнера за преносни рачунар. Клијент одлучује која одредишта шаље у тунел, а листа која садржи само подмрежу тунела оставља LAN невидљивим, како год сервер био конфигурисан. Обе стране морају да се сложе, а обично се уређује само једна од њих.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Прва наредба извештава шта сваком партнеру је дозвољено да шаље са становишта сервера; друга извештава куда би LAN адреса заиста отишла на клијенту. LAN одредиште које се разрешава на интерфејс тунела је усмеравање које ради, а оно које излази кроз физичку пролазну тачку никада неће стићи, шта год заштитни зид рекао. Додајте LAN префикс на листу дозвољених клијента и исте две наредбе постају корак провере уместо дијагностике.

Исти скок за IPsec пролазне тачке описује документација strongSwan о прослеђивању, где прослеђивање и правило source-NAT повезују клијента тунела са унутрашњим домаћином. Адресирање се разликује; захтев не.

Ко може да отвори административну страницу

Контрола приступа припада рутеру, а не намери да будете пажљиви. Дозволите само аутентификованом идентитету тунела или опсегу извора коме је страница потребна, и читајте сопствени улазни ланац рутера као и сваку прослеђену LAN политику. Правило које дозвољава жичаном LAN-у да стигне до административне странице не говори ништа о клијенту који долази на интерфејс тунела. Напишите изузетак за одређени идентитет, а затим задржите други идентитет коме треба ускратити приступ.

Слушалац је друга половина и невидљив је у излазу заштитног зида. ss -ltnp приказује адресу на коју је веб сервер везан, а услуга везана само за LAN адресу неће одговорити на адреси тунела, колико год правила била дозвољавајућа. Поновно везивање или додавање адресе је промена конфигурације на рутеру, а не промена заштитног зида.

Држите аутентификацију и проверу транспорта укључене у истом пролазу. Доступност није поверење, и сваки уређај унутар тунела тиме не постаје администратор. Акредитиви тунела и налог рутера су одвојене привилегије са одвојеним животним циклусима, па се кључ изгубљеног преносног рачунара може опозвати без ресетовања лозинке сваког администратора.

Тестирање споља, не са кауча

Тестирајте из мреже коју не контролишете. Повежите се преко одобреног тунела, отворите нову административну сесију и промените нешто безопасно што видите одражено на страници. Са кауча доказујете да LAN ради, што никада није било сумњиво.

Затим тестирајте одбијања са истом пажњом. Покушајте страницу без тунела и потврдите да не успева, и потврдите да административна услуга уопште не слуша на WAN адреси. Страница која само није повезана није контрола приступа, а слушалац на WAN-у који приказује форму за пријаву и даље је слушалац на WAN-у. Ако је лозинка једина ствар између интернета и конзоле рутера, дизајн је лозинка.

Кућне услуге заслужују поглед док сте тамо. Пооштравање правила управљања често квари гостујућу мрежу или резолвер који користе породични уређаји, а то се појави данима касније као неповезана жалба.

Очувати пут назад док мењате ствари

Пре него што даљински промените руте или подешавања тунела, припремите независан пут назад. Постојећа сесија може да преживи промену која већ блокира нове везе, и управо тако људи закључају себе напољу гледајући сесију која још ради. Опције су конкретне: заказано поновно покретање у познату конфигурацију, конзолни или физички приступ, други тунел који не зависи од подешавања које се уређује, или ванпојасно управљање где га хардвер нуди. Изаберите једну и докажите је пре прозора за одржавање, а не током њега.

Држите запис кратак и ажуран: који домаћин завршава тунел, који идентитети могу да стигну до странице, на коју адресу се услуга везује и како се опозива изгубљени уређај. Та листа служи и као план опоравка, јер каже где живи свака зависност. Недостајућа повратна рута је проблем усмеравања који треба поправити и никада није разлог да администрацију објавите на WAN-у.