เข้าถึงหน้าผู้ดูแลเราเตอร์ผ่าน VPN ไม่ใช่ WAN

หน้าผู้ดูแลของเราเตอร์เปิดในสองวินาทีจากโซฟาและหมดเวลาจากห้องโรงแรม ขณะที่ไคลเอนต์ VPN รายงานว่าเชื่อมต่อตลอดเวลา สิ่งที่คุณมีคือทางออก ไม่ใช่ทางกลับ อุโมงค์พาทราฟฟิกของคุณออกสู่อินเทอร์เน็ตและหยุดอยู่ตรงนั้น การเข้าถึงอุปกรณ์ภายใน LAN ของคุณเองต้องใช้เซสชันที่สิ้นสุดบนสิ่งที่มีเส้นทางไปถึงที่นั่น นี่คือการตัดสินใจด้านการออกแบบ ไม่ใช่การตั้งค่า และมันกำหนดว่าส่วนที่เหลือของงานจะเป็นไปได้หรือไม่

ความแตกต่างนี้หายไปได้ง่ายเพราะผลิตภัณฑ์เดียวทำได้ทั้งสองงาน ไคลเอนต์ทางออกเชิงพาณิชย์และเซิร์ฟเวอร์การเข้าถึงระยะไกลพูดโปรโตคอลเดียวกันบนพอร์ตเดียวกันได้ และความต่างคือฝั่งใดเป็นเจ้าของพื้นที่ที่อยู่หลังจุดสิ้นสุด

ฝั่งใดของอุโมงค์เป็นเจ้าของ LAN

สำหรับการดูแล จุดสิ้นสุดต้องอยู่ในเครือข่ายที่คุณต้องการเข้าถึง หรือมีเส้นทางที่ได้รับอนุญาตเข้าไป เราเตอร์ที่รันเซิร์ฟเวอร์ VPN ของตัวเองเข้าเกณฑ์ เช่นเดียวกับโฮสต์เล็กที่เปิดตลอดเวลาพร้อมที่อยู่คงที่และเส้นทางไปยัง LAN บริการทางออกที่ดำเนินการโดยบุคคลที่สามไม่เข้าเกณฑ์ เพราะจุดสิ้นสุดไม่มีอินเทอร์เฟซบน LAN ของคุณและไม่มีกฎที่จะยอมให้มีขึ้นมา นี่คือการตรวจสอบที่ต้องทำให้เสร็จก่อนแตะสิ่งอื่นใด

เฟิร์มแวร์แทบไม่เคยติดป้ายความแตกต่างนี้ ดังนั้นอ่านว่าฟีเจอร์ทำอะไร ไม่ใช่ชื่อโปรโตคอล WireGuard, OpenVPN และ IKEv2 ต่างปรากฏทั้งสองฝั่งของตลาด บิลด์หนึ่งส่งทราฟฟิกในบ้านออกไป อีกบิลด์รับอุปกรณ์ระยะไกลของคุณ บิลด์ที่มีเฉพาะไคลเอนต์เปลี่ยนเป็นเซิร์ฟเวอร์ด้วยการกำหนดค่าไม่ได้ ไม่ว่าเมนูจะเขียนอย่างไร

ทำให้เส้นทางกลับมีอยู่จริง

เซิร์ฟเวอร์ WireGuard บนเราเตอร์มีที่อยู่อินเทอร์เฟซ เช่น 10.8.0.1/24 และรายการเพียร์สำหรับแล็ปท็อป ไคลเอนต์ตัดสินใจว่าจะส่งปลายทางใดเข้าอุโมงค์ และรายการที่มีเพียงซับเน็ตของอุโมงค์จะทำให้ LAN มองไม่เห็น ไม่ว่าเซิร์ฟเวอร์จะกำหนดค่าอย่างไร ทั้งสองฝั่งต้องตกลงกัน และโดยปกติจะแก้ไขเพียงฝั่งเดียว

wg show wg0 allowed-ips
ip route get 192.168.1.1

คำสั่งแรกแสดงสิ่งที่แต่ละเพียร์ได้รับอนุญาตให้ส่งจากมุมมองของเซิร์ฟเวอร์ คำสั่งที่สองแสดงว่าที่อยู่ LAN จะไปที่ใดจริงบนไคลเอนต์ ปลายทาง LAN ที่แปลงเป็นอินเทอร์เฟซของอุโมงค์คือการกำหนดเส้นทางที่ใช้งานได้ และปลายทางที่ออกผ่านเกตเวย์จริงจะไม่มีวันไปถึง ไม่ว่าไฟร์วอลล์จะว่าอย่างไร เพิ่มคำนำหน้า LAN ลงในรายการที่อนุญาตของไคลเอนต์ แล้วคำสั่งสองคำสั่งเดิมจะกลายเป็นขั้นตอนตรวจสอบแทนการวินิจฉัย

การกระโดดแบบเดียวกันสำหรับเกตเวย์ IPsec อธิบายไว้ใน เอกสารการส่งต่อของ strongSwan ซึ่งการส่งต่อและกฎ source-NAT เชื่อมไคลเอนต์อุโมงค์กับโฮสต์ภายใน การกำหนดที่อยู่ต่างกัน แต่ข้อกำหนดไม่ต่าง

ใครเปิดหน้าผู้ดูแลได้

การควบคุมการเข้าถึงเป็นของเราเตอร์ ไม่ใช่ของความตั้งใจระวัง อนุญาตเฉพาะตัวตนอุโมงค์ที่พิสูจน์ตัวแล้วหรือช่วงต้นทางที่ต้องการหน้า และอ่านเชนอินพุตของเราเตอร์เองรวมถึงนโยบาย LAN ที่ส่งต่อด้วย กฎที่ให้ LAN แบบมีสายเข้าถึงหน้าผู้ดูแลไม่ได้บอกอะไรเกี่ยวกับไคลเอนต์ที่มาบนอินเทอร์เฟซอุโมงค์ เขียนข้อยกเว้นสำหรับตัวตนเฉพาะ แล้วเก็บตัวตนที่สองที่ควรถูกปฏิเสธไว้

ผู้รับฟังคืออีกครึ่งหนึ่งและมองไม่เห็นในผลลัพธ์ของไฟร์วอลล์ ss -ltnp แสดงที่อยู่ที่เว็บเซิร์ฟเวอร์ผูกอยู่ และบริการที่ผูกกับที่อยู่ LAN เท่านั้นจะไม่ตอบบนที่อยู่อุโมงค์ ไม่ว่ากฎจะผ่อนปรนเพียงใด การผูกใหม่หรือเพิ่มที่อยู่เป็นการเปลี่ยนการกำหนดค่าบนเราเตอร์ ไม่ใช่การเปลี่ยนไฟร์วอลล์

เปิดการพิสูจน์ตัวตนและการตรวจสอบการขนส่งไว้ในรอบเดียวกัน เข้าถึงได้ไม่ใช่เชื่อถือได้ และทุกอุปกรณ์ในอุโมงค์ไม่ได้กลายเป็นผู้ดูแลด้วยเหตุนั้น ข้อมูลรับรองของอุโมงค์และบัญชีเราเตอร์เป็นสิทธิ์แยกกันที่มีวงจรชีวิตแยกกัน ดังนั้นกุญแจของแล็ปท็อปที่หายสามารถเพิกถอนได้โดยไม่ต้องรีเซ็ตรหัสผ่านของผู้ดูแลทุกคน

ทดสอบจากข้างนอก ไม่ใช่จากโซฟา

ทดสอบจากเครือข่ายที่คุณไม่ได้ควบคุม เชื่อมต่อผ่านอุโมงค์ที่อนุมัติ เปิดเซสชันผู้ดูแลใหม่ และเปลี่ยนสิ่งที่ไม่เป็นอันตรายซึ่งคุณเห็นสะท้อนบนหน้า จากโซฟาคุณกำลังพิสูจน์ว่า LAN ทำงาน ซึ่งไม่เคยเป็นข้อสงสัย

จากนั้นทดสอบการปฏิเสธด้วยความใส่ใจเดียวกัน ลองเปิดหน้าโดยไม่มีอุโมงค์และยืนยันว่าล้มเหลว และยืนยันว่าบริการดูแลไม่ได้ฟังบนที่อยู่ WAN เลย หน้าที่เพียงไม่มีลิงก์ไม่ใช่การควบคุมการเข้าถึง และผู้รับฟังบน WAN ที่แสดงแบบฟอร์มเข้าสู่ระบบก็ยังเป็นผู้รับฟังบน WAN ถ้ารหัสผ่านเป็นสิ่งเดียวระหว่างอินเทอร์เน็ตกับคอนโซลของเราเตอร์ การออกแบบก็คือรหัสผ่าน

บริการในบ้านควรค่าแก่การดูขณะอยู่ที่นั่น การเข้มงวดกฎการจัดการมักทำให้เครือข่ายแขกหรือตัวแก้ไขที่อุปกรณ์ในครอบครัวใช้เสีย และสิ่งนั้นจะปรากฏเป็นข้อร้องเรียนที่ไม่เกี่ยวข้องในอีกหลายวัน

รักษาทางกลับไว้ขณะเปลี่ยนสิ่งต่าง ๆ

ก่อนเปลี่ยนเส้นทางหรือการตั้งค่าอุโมงค์จากระยะไกล ให้เตรียมทางกลับที่เป็นอิสระ เซสชันที่มีอยู่สามารถรอดจากการเปลี่ยนแปลงที่บล็อกการเชื่อมต่อใหม่แล้ว และนั่นคือวิธีที่ผู้คนล็อกตัวเองออกไปขณะดูเซสชันที่ยังทำงานอยู่ ตัวเลือกเป็นรูปธรรม การรีบูตตามกำหนดไปยังการกำหนดค่าที่รู้จัก การเข้าถึงผ่านคอนโซลหรือทางกายภาพ อุโมงค์ที่สองที่ไม่ขึ้นกับการตั้งค่าที่กำลังแก้ไข หรือการจัดการนอกแบนด์ที่ฮาร์ดแวร์มีให้ เลือกหนึ่งอย่างและพิสูจน์ก่อนหน้าต่างบำรุงรักษา ไม่ใช่ระหว่างนั้น

เก็บบันทึกให้สั้นและเป็นปัจจุบัน โฮสต์ใดจบอุโมงค์ ตัวตนใดเข้าถึงหน้าได้ บริการผูกกับที่อยู่ใด และอุปกรณ์ที่หายถูกเพิกถอนอย่างไร รายการนั้นยังใช้เป็นแผนกู้คืน เพราะมันบอกว่าแต่ละการพึ่งพาอยู่ที่ไหน เส้นทางกลับที่หายไปคือปัญหาการกำหนดเส้นทางที่ต้องซ่อม และไม่เคยเป็นเหตุผลที่จะเผยแพร่การดูแลบน WAN