Fikia ukurasa wa msimamizi wa router kupitia VPN, si kupitia WAN

Ukurasa wa msimamizi wa router hufunguka kwa sekunde mbili kutoka kwenye kochi na huisha kwa muda kutoka chumba cha hoteli, wakati mteja wa VPN anaripoti kuwa ameunganishwa muda wote. Unacho ni njia ya kutoka, si njia ya kurudi: handaki hubeba trafiki yako hadi intaneti na huishia hapo. Kufikia kifaa kilicho ndani ya LAN yako mwenyewe kunahitaji kikao kinachoishia kwenye kitu kilicho na njia ya kufika hapo. Hii ni uamuzi wa muundo, si mpangilio, na huamua kama kazi iliyobaki inawezekana kabisa.

Tofauti hii ni rahisi kupoteza kwa sababu bidhaa moja inaweza kufanya kazi zote mbili. Mteja wa kutoka wa kibiashara na seva ya ufikiaji wa mbali wanaweza kuzungumza itifaki moja kwenye bandari moja, na tofauti ni upande gani unamiliki nafasi ya anwani nyuma ya mwisho wa njia.

Upande gani wa handaki unamiliki LAN

Kwa usimamizi, mwisho wa njia lazima uwe ndani ya mtandao unaotaka kufikia, au uwe na njia iliyoidhinishwa kuelekea humo. Router inayoendesha seva yake ya VPN inakidhi sharti; hivyo pia mwenyeji mdogo anayeendelea kuwaka na anwani isiyobadilika na njia kuelekea LAN. Huduma ya kutoka inayoendeshwa na mtu wa tatu haikidhi, kwa sababu mwisho wake hauna kiolesura kwenye LAN yako na hakuna kanuni itakayoruhusu kimoja kuonekana. Hii ni ukaguzi unaopaswa kukamilishwa kabla ya kugusa kitu kingine chochote.

Firmware mara chache hulembea tofauti hiyo, kwa hiyo soma kile kipengele hufanya, si itifaki inayoitaja. WireGuard, OpenVPN na IKEv2 zote zinaonekana pande zote za soko: build moja hutuma trafiki ya nyumbani nje, nyingine hukubali kifaa chako cha mbali. Build ya mteja pekee haiwezi kugeuzwa kuwa seva kwa usanidi, jinsi menyu ilivyoandikwa.

Kufanya njia ya kurudi iwepo

Seva ya WireGuard kwenye router ina anwani ya kiolesura kama 10.8.0.1/24 na ingizo la rika kwa kompyuta ya mkononi. Mteja huamua ni maeneo gani atatuma kwenye handaki, na orodha iliyo na subnet ya handaki pekee huiacha LAN isionekane, jinsi seva ilivyosanidiwa. Pande zote mbili lazima zikubaliane, na kwa kawaida moja tu huhaririwa.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Amri ya kwanza huripoti kile kila rika anaruhusiwa kutuma kwa mtazamo wa seva; ya pili huripoti anwani ya LAN itakwenda wapi kwa kweli kwa mteja. Marudio ya LAN yanayotatuliwa kwenye kiolesura cha handaki ni uelekezaji unaofanya kazi, na yale yanayotoka kupitia lango halisi hayatafika kamwe, chakwamba firewall itasema nini. Ongeza kiambishi cha LAN kwenye orodha inayoruhusiwa ya mteja, na amri hizo mbili zile zile zinakuwa hatua ya uthibitishaji badala ya uchunguzi.

Kuruka huko huko kwa malango ya IPsec kunaelezwa na nyaraka za uhamishaji za strongSwan, ambapo uhamishaji na kanuni ya source-NAT huunganisha mteja wa handaki na mwenyeji wa ndani. Anwani zinatofautiana; hitaji halitofautiani.

Nani anaweza kufungua ukurasa wa msimamizi

Udhibiti wa ufikiaji ni wa router, si wa nia ya kuwa mwangalifu. Ruhusu tu utambulisho wa handaki uliothibitishwa au masafa ya chanzo yanayohitaji ukurasa, na soma mnyororo wa pembejeo wa router yenyewe pamoja na sera yoyote ya LAN iliyohamishwa. Kanuni inayoruhusu LAN ya waya kufikia ukurasa wa msimamizi haisemi chochote kuhusu mteja anayefika kwenye kiolesura cha handaki. Andika ubaguzi kwa utambulisho maalum, kisha weka utambulisho wa pili ambao unapaswa kukataliwa.

Msikilizaji ni nusu nyingine na haonekani kwenye matokeo ya firewall. ss -ltnp huonyesha anwani ambayo seva ya wavuti imefungwa, na huduma iliyofungwa kwa anwani ya LAN pekee haitajibu kwenye anwani ya handaki, jinsi kanuni zilivyo za ukarimu. Kuifunga tena au kuongeza anwani ni mabadiliko ya usanidi kwenye router, si mabadiliko ya firewall.

Weka uthibitishaji na uthibitishaji wa usafirishaji vikiwa imewashwa katika kipindi kimoja. Kufikika si kuaminika, na kila kifaa ndani ya handaki hakifanyiki kuwa msimamizi kwa hilo. Vitambulisho vya handaki na akaunti ya router ni haki tofauti zenye mizunguko tofauti ya maisha, hivyo ufunguo wa kompyuta ya mkononi iliyopotea unaweza kufutwa bila kuweka upya nenosiri la kila msimamizi.

Kujaribu kutoka nje, si kutoka kwenye kochi

Jaribu kutoka mtandao ambao huudhibiti. Ungana kupitia handaki iliyoidhinishwa, fungua kikao kipya cha msimamizi, na badilisha kitu kisicho na madhara unachokiona kikionyeshwa kwenye ukurasa. Kutoka kwenye kochi unathibitisha kuwa LAN inafanya kazi, jambo ambalo halikuwa na shaka.

Kisha jaribu kukataa kwa uangalifu huo huo. Jaribu ukurasa bila handaki na uthibitishe kuwa unashindikana, na uthibitishe kuwa huduma ya usimamizi haisikilizi kabisa kwenye anwani ya WAN. Ukurasa ambao haujaunganishwa tu si udhibiti wa ufikiaji, na msikilizaji wa WAN anayeonyesha fomu ya kuingia bado ni msikilizaji wa WAN. Ikiwa nenosiri ni kitu pekee kati ya intaneti na konsoli ya router, muundo ni nenosiri.

Huduma za nyumbani zistahili kuangaliwa wakati uko huko. Kukaza kanuni za usimamizi mara nyingi huvunja mtandao wa wageni au kitatuzi kinachotumiwa na vifaa vya familia, na hilo huibuka siku kadhaa baadaye kama malalamiko yasiyohusiana.

Kuweka njia ya kurudi wakati unabadilisha vitu

Kabla ya kubadilisha njia au mipangilio ya handaki kwa mbali, andaa njia huru ya kurudi. Kikao kilichopo kinaweza kustahimili mabadiliko ambayo tayari yanazuia miunganisho mipya, na ndivyo watu hujifunga nje wakati wakichungulia kikao kinachofanya kazi bado. Chaguo ni dhahiri: kuwasha upya kwa ratiba kwenye usanidi unaojulikana, ufikiaji wa konsoli au wa kimwili, handaki la pili lisilotegemea mpangilio unaohaririwa, au usimamizi wa nje ya mkondo pale ambapo maunzi hutoa. Chagua moja na uthibitishe kabla ya dirisha la matengenezo, si wakati wake.

Weka rekodi fupi na iliyosasishwa: ni mwenyeji gani anayemaliza handaki, ni utambulisho gani unaweza kufikia ukurasa, huduma inafungwa kwa anwani gani, na kifaa kilichopotea kinafutwa vipi. Orodha hiyo pia hutumika kama mpango wa urejeshaji, kwa sababu inasema kila utegemezi unaishi wapi. Njia ya kurudi inayokosekana ni tatizo la uelekezaji la kurekebishwa, na kamwe si sababu ya kuchapisha usimamizi kwenye WAN.