Yönlendirici yönetim sayfasına WAN üzerinden değil, VPN üzerinden erişin

Yönlendiricinin yönetim sayfası kanepeden iki saniyede açılıyor, otel odasından ise zaman aşımına uğruyor; oysa VPN istemcisi her zaman bağlı olduğunu bildiriyor. Elinizde olan dışarı çıkış yolu, geri dönüş yolu değil: tünel trafiğinizi internete taşır ve orada durur. Kendi LAN'ınızın içindeki bir cihaza ulaşmak için oraya rotası olan bir şeyde biten bir oturum gerekir. Bu bir tasarım kararıdır, ayar değildir ve işin geri kalanının mümkün olup olmadığını belirler.

Bu ayrımı kaybetmek kolaydır çünkü tek bir ürün her iki işi de yapabilir. Ticari bir çıkış istemcisi ile uzaktan erişim sunucusu aynı bağlantı noktasında aynı protokolü konuşabilir ve fark, uç noktanın arkasındaki adres alanına hangi tarafın sahip olduğudur.

Tünelin hangi tarafı LAN'a sahip

Yönetim için uç nokta, ulaşmak istediğiniz ağın içinde olmalı ya da oraya yetkili bir yolu olmalıdır. Kendi VPN sunucusunu çalıştıran bir yönlendirici bu koşulu sağlar; sabit adresi ve LAN'a rotası olan küçük, sürekli açık bir makine de sağlar. Üçüncü tarafça işletilen bir çıkış hizmeti sağlamaz, çünkü uç noktasının LAN'ınızda arayüzü ve bir arayüzün ortaya çıkmasına izin verecek bir kuralı yoktur. Başka herhangi bir şeye dokunmadan önce tamamlanması gereken denetim budur.

Yazılım bu ayrımı nadiren etiketler, bu yüzden hangi protokolü adlandırdığını değil, özelliğin ne yaptığını okuyun. WireGuard, OpenVPN ve IKEv2 pazarın her iki tarafında da görünür: bir derleme ev trafiğini dışarı gönderir, diğeri uzaktaki cihazınızı kabul eder. Yalnızca istemci derlemesi yapılandırmayla sunucuya dönüştürülemez, menü nasıl yazılmış olursa olsun.

Dönüş rotasını var etmek

Yönlendiricideki WireGuard sunucusunun 10.8.0.1/24 gibi bir arayüz adresi ve dizüstü bilgisayar için bir eş kaydı vardır. Hangi hedeflerin tünele gönderileceğine istemci karar verir ve yalnızca tünel alt ağını içeren bir liste, sunucu nasıl yapılandırılmış olursa olsun LAN'ı görünmez bırakır. İki uç anlaşmalıdır ve genellikle yalnızca biri düzenlenir.

wg show wg0 allowed-ips
ip route get 192.168.1.1

İlk komut sunucu açısından her eşin ne göndermesine izin verildiğini bildirir; ikincisi istemcide bir LAN adresinin gerçekte nereye gideceğini bildirir. Tünel arayüzüne çözülen bir LAN hedefi çalışan yönlendirmedir, fiziksel geçitten çıkan ise güvenlik duvarı ne derse desin asla ulaşmaz. İstemcinin izin verilen listesine LAN önekini ekleyin; aynı iki komut tanı yerine doğrulama adımı olur.

IPsec geçitleri için aynı sıçramayı strongSwan'ın yönlendirme belgeleri açıklar; orada yönlendirme ve bir source-NAT kuralı, tünel istemcisini iç bir makineye bağlar. Adresleme farklıdır; gereksinim değildir.

Yönetim sayfasını kimler açabilir

Erişim denetimi yönlendiriciye aittir, dikkatli olma niyetine değil. Yalnızca sayfaya ihtiyaç duyan kimliği doğrulanmış tünel kimliğine veya kaynak aralığına izin verin ve yönlendiricinin kendi giriş zincirini ve iletilen her LAN ilkesini okuyun. Kablolu LAN'ın yönetim sayfasına ulaşmasına izin veren bir kural, tünel arayüzüne gelen istemci hakkında hiçbir şey söylemez. Belirli bir kimlik için istisnayı yazın, ardından reddedilmesi gereken ikinci bir kimlik tutun.

Dinleyici diğer yarıdır ve güvenlik duvarı çıktısında görünmez. ss -ltnp web sunucusunun bağlı olduğu adresi gösterir ve yalnızca LAN adresine bağlı bir hizmet, kurallar ne kadar izin verici olursa olsun tünel adresinde yanıt vermez. Onu yeniden bağlamak veya bir adres eklemek yönlendiricide yapılandırma değişikliğidir, güvenlik duvarı değişikliği değildir.

Kimlik doğrulamayı ve taşıma doğrulamasını aynı geçişte açık tutun. Erişilebilirlik güven değildir ve bir tünelin içindeki her cihaz bununla yönetici olmaz. Tünel kimlik bilgileri ile yönlendirici hesabı ayrı yaşam döngülerine sahip ayrı ayrıcalıklardır, bu yüzden kaybolan bir dizüstü bilgisayarın anahtarı her yöneticinin parolası sıfırlanmadan iptal edilebilir.

Dışarıdan test etmek, kanepeden değil

Kontrol etmediğiniz bir ağdan test edin. Onaylanmış tünel üzerinden bağlanın, yeni bir yönetim oturumu açın ve sayfada yansıdığını gördüğünüz zararsız bir şeyi değiştirin. Kanepeden LAN'ın çalıştığını kanıtlıyorsunuz; bu hiçbir zaman kuşku konusu olmadı.

Ardından retleri aynı özenle test edin. Sayfayı tünelsiz açmayı deneyin ve başarısız olduğunu doğrulayın; yönetim hizmetinin WAN adresinde hiç dinlemediğini de doğrulayın. Yalnızca bağlantısı verilmemiş bir sayfa erişim denetimi değildir ve oturum açma formu gösteren bir WAN dinleyicisi hâlâ WAN dinleyicisidir. İnternet ile yönlendirici konsolu arasındaki tek şey bir parola ise tasarım bir paroladır.

Ev hizmetleri oradayken bir göz atmayı hak eder. Yönetim kurallarını sıkılaştırmak çoğu zaman misafir ağını veya ailenin cihazlarının kullandığı çözümleyiciyi bozar ve bu günler sonra ilgisiz bir şikâyet olarak ortaya çıkar.

Bir şeyleri değiştirirken dönüş yolunu korumak

Rotları veya tünel ayarlarını uzaktan değiştirmeden önce bağımsız bir dönüş yolu hazırlayın. Var olan bir oturum, yeni bağlantıları zaten engelleyen değişikliği atlatabilir ve insanlar tam olarak hâlâ çalışan bir oturumu izlerken kendilerini böyle kilitler. Seçenekler somuttur: bilinen bir yapılandırmaya planlı yeniden başlatma, konsol veya fiziksel erişim, düzenlenen ayara bağlı olmayan ikinci bir tünel ya da donanımın sunduğu yerde bant dışı yönetim. Birini seçin ve bakım penceresinden önce kanıtlayın, pencere sırasında değil.

Kaydı kısa ve güncel tutun: tüneli hangi makinenin sonlandırdığı, hangi kimliklerin sayfaya ulaşabildiği, hizmetin hangi adrese bağlandığı ve kaybolan cihazın nasıl iptal edildiği. Bu liste aynı zamanda kurtarma planı olarak işe yarar, çünkü her bağımlılığın nerede yaşadığını söyler. Eksik bir dönüş rotası onarılacak bir yönlendirme sorunudur ve yönetimi WAN üzerinde yayımlamak için asla bir neden değildir.