Abutin ang admin page ng router sa pamamagitan ng VPN, hindi sa WAN

Ang admin page ng router ay bumubukas sa dalawang segundo mula sa sofa at nag-ti-time out mula sa silid ng hotel, habang ang VPN client ay nag-uulat ng konektado sa buong oras. Ang mayroon ka ay daan palabas, hindi daan pabalik: dinadala ng tunnel ang iyong trapiko sa internet at doon humihinto. Upang maabot ang isang device sa loob ng iyong sariling LAN kailangan ng session na nagtatapos sa isang bagay na may ruta patungo roon. Ito ay desisyon sa disenyo, hindi setting, at tinutukoy nito kung posible ang natitirang trabaho.

Madaling mawala ang pagkakaibang ito dahil kayang gawin ng isang produkto ang dalawang trabaho. Ang isang komersyal na exit client at isang remote-access server ay maaaring magsalita ng parehong protocol sa parehong port, at ang pagkakaiba ay kung aling panig ang nagmamay-ari ng address space sa likod ng endpoint.

Aling panig ng tunnel ang nagmamay-ari ng LAN

Para sa administrasyon, ang endpoint ay dapat nasa loob ng network na gusto mong abutin, o may awtorisadong daan papasok doon. Ang router na nagpapatakbo ng sarili nitong VPN server ay kwalipikado; gayundin ang maliit na laging bukas na host na may fixed address at ruta patungo sa LAN. Ang exit service na pinapatakbo ng third party ay hindi kwalipikado, dahil ang endpoint nito ay walang interface sa iyong LAN at walang tuntunin na magpapahintulot na lumitaw ang isa. Ito ang pagsusuri na dapat tapusin bago hawakan ang anumang iba.

Bihirang lagyan ng label ng firmware ang pagkakaibang iyon, kaya basahin ang ginagawa ng feature hindi ang protocol na binabanggit nito. WireGuard, OpenVPN at IKEv2 ay lumilitaw sa magkabilang panig ng merkado: ang isang build ay nagpapadala ng trapiko ng sambahayan palabas, ang isa ay tumatanggap ng iyong remote device. Ang build na client-only ay hindi maaaring gawing server sa pamamagitan ng configuration, gaano man isulat ang menu.

Gawing umiiral ang pabalik na ruta

Ang WireGuard server sa router ay may interface address tulad ng 10.8.0.1/24 at peer entry para sa laptop. Pinipili ng client kung aling mga destinasyon ang ipapadala sa tunnel, at ang listahan na naglalaman lamang ng tunnel subnet ay iniiwan ang LAN na hindi nakikita, gaano man i-configure ang server. Dapat magkasundo ang dalawang dulo, at kadalasan isa lamang sa kanila ang ine-edit.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Ang unang command ay nag-uulat kung ano ang pinapayagang ipadala ng bawat peer mula sa pananaw ng server; ang pangalawa ay nag-uulat kung saan talaga pupunta ang isang LAN address sa client. Ang destinasyon sa LAN na nagreresolve sa interface ng tunnel ay routing na gumagana, at ang lumalabas sa pisikal na gateway ay hindi kailanman darating, anuman ang sabihin ng firewall. Idagdag ang LAN prefix sa pinapayagang listahan ng client at ang parehong dalawang command ay magiging hakbang sa pagpapatunay sa halip na diagnosis.

Ang parehong pagtalon para sa mga gateway ng IPsec ay inilalarawan ng dokumentasyon ng pagpapasa ng strongSwan, kung saan ang pagpapasa at isang panuntunan sa source-NAT ang nag-uugnay ng tunnel client sa isang panloob na host. Naiiba ang pag-address; ang pangangailangan ay hindi.

Sino ang makakabukas ng admin page

Ang kontrol sa pag-access ay kabilang sa router, hindi sa intensyong maging maingat. Payagan lamang ang authenticated na tunnel identity o ang source range na nangangailangan ng page, at basahin ang sariling input chain ng router pati na rin ang anumang forwarded na LAN policy. Ang tuntuning nagpapahintulot sa wired LAN na maabot ang admin page ay walang sinasabi tungkol sa client na dumarating sa interface ng tunnel. Isulat ang exception para sa partikular na identity, pagkatapos ay panatilihin ang pangalawang identity na dapat tanggihan.

Ang listener ay ang kabilang kalahati at hindi ito nakikita sa output ng firewall. ss -ltnp ay nagpapakita ng address na nakabuhol ang web server, at ang serbisyong nakabuhol lamang sa LAN address ay hindi sasagot sa address ng tunnel, gaano man kapahintulot ang mga tuntunin. Ang muling pagbuhol nito o pagdaragdag ng address ay pagbabago ng configuration sa router, hindi pagbabago ng firewall.

Panatilihing bukas ang authentication at transport validation sa parehong pass. Ang maabot ay hindi pinagkakatiwalaan, at hindi nagiging administrator ang bawat device sa loob ng tunnel dahil doon. Ang kredensyal ng tunnel at ang account ng router ay magkahiwalay na pribilehiyo na may magkahiwalay na lifecycle, kaya ang susi ng nawawalang laptop ay maaaring bawiin nang hindi nire-reset ang password ng bawat administrator.

Subukan mula sa labas, hindi mula sa sofa

Subukan mula sa network na hindi mo kontrolado. Kumonekta sa pamamagitan ng aprubadong tunnel, magbukas ng bagong admin session, at magbago ng isang bagay na walang pinsala na nakikita mong makikita sa page. Mula sa sofa pinatutunayan mo na gumagana ang LAN, na hindi kailanman pinag-alinlangan.

Pagkatapos subukan ang mga pagtanggi nang may parehong pag-iingat. Subukang buksan ang page nang walang tunnel at tiyaking nabigo ito, at tiyaking hindi nakikinig ang administrasyon service sa WAN address. Ang page na hindi lamang naka-link ay hindi kontrol sa pag-access, at ang listener sa WAN na nagpapakita ng login form ay listener pa rin sa WAN. Kung password lang ang tanging bagay sa pagitan ng internet at ng console ng router, ang disenyo ay password.

Ang mga serbisyo sa bahay ay dapat silipin habang nandoon ka. Ang pagpapahigpit ng mga tuntunin sa pamamahala ay madalas na sumisira sa guest network o sa resolver na ginagamit ng mga device ng pamilya, at lumilitaw iyon pagkalipas ng ilang araw bilang hindi kaugnay na reklamo.

Panatilihin ang daan pabalik habang nagbabago ng mga bagay

Bago baguhin ang mga ruta o setting ng tunnel mula sa malayo, maghanda ng independiyenteng daan pabalik. Ang umiiral na session ay maaaring makaligtas sa pagbabagong humaharang na sa mga bagong koneksyon, at ganoon talaga ang paraan ng pagkulong ng mga tao sa labas habang nanonood ng session na gumagana pa. Ang mga opsyon ay konkreto: naka-iskedyul na reboot sa kilalang configuration, console o pisikal na access, pangalawang tunnel na hindi umaasa sa setting na ine-edit, o out-of-band management kung saan inaalok ito ng hardware. Pumili ng isa at patunayan ito bago ang maintenance window, hindi habang ito ay nangyayari.

Panatilihing maikli at napapanahon ang talaan: aling host ang nagtatapos ng tunnel, aling identity ang makakaabot sa page, sa aling address nakabuhol ang service, at paano binabawi ang nawawalang device. Ang listahang iyon ay nagsisilbi ring recovery plan, dahil sinasabi nito kung saan nakatira ang bawat dependency. Ang nawawalang pabalik na ruta ay problema sa routing na dapat ayusin, at hindi kailanman dahilan upang ilathala ang administrasyon sa WAN.