Доступ до сторінки адміністрування роутера через VPN, а не через WAN

Сторінка адміністрування роутера відкривається за дві секунди з дивана і впирається в тайм-аут з готельного номера, хоча клієнт VPN увесь час повідомляє про підключення. У вас є шлях назовні, а не шлях назад: тунель несе ваш трафік в інтернет і там зупиняється. Щоб дістатися пристрою всередині власної локальної мережі, потрібна сесія, яка закінчується на чомусь із маршрутом туди. Це проєктне рішення, а не налаштування, і воно визначає, чи можлива решта роботи взагалі.

Цю різницю легко втратити, бо один продукт може виконувати обидві задачі. Комерційний клієнт виходу і сервер віддаленого доступу можуть говорити одним протоколом на одному порту, а різниця в тому, яка сторона володіє адресним простором за кінцевою точкою.

Яка сторона тунелю володіє локальною мережею

Для адміністрування кінцева точка має бути всередині мережі, до якої ви хочете дістатися, або мати до неї дозволений шлях. Роутер із власним сервером VPN підходить; підходить і невеликий постійно ввімкнений хост із фіксованою адресою та маршрутом до локальної мережі. Служба виходу, якою керує третя сторона, не підходить, бо її кінцева точка не має інтерфейсу у вашій локальній мережі й жодного правила, яке дозволило б йому з'явитися. Це перевірка, яку треба завершити, перш ніж торкатися чогось іншого.

Прошивка рідко позначає цю різницю, тому читайте, що робить функція, а не який протокол вона називає. WireGuard, OpenVPN і IKEv2 трапляються з обох боків ринку: одна збірка відправляє домашній трафік назовні, інша приймає ваш віддалений пристрій. Збірку лише для клієнта не можна перетворити на сервер налаштуванням, як би не було сформульовано меню.

Зробити зворотний маршрут наявним

Сервер WireGuard на роутері має адресу інтерфейсу на кшталт 10.8.0.1/24 і запис партнера для ноутбука. Клієнт вирішує, які призначення надсилати в тунель, а список, що містить лише підмережу тунелю, залишає локальну мережу невидимою, хоч би як був налаштований сервер. Обидві сторони мають погодитися, і зазвичай редагується лише одна з них.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Перша команда повідомляє, що кожному партнеру дозволено надсилати з погляду сервера; друга — куди адреса з локальної мережі насправді піде на клієнті. Призначення з локальної мережі, яке розв'язується в інтерфейс тунелю, — це маршрутизація, що працює, а те, що виходить через фізичний шлюз, ніколи не прибуде, що б не казав міжмережевий екран. Додайте префікс локальної мережі до дозволеного списку клієнта, і ті самі дві команди стануть кроком перевірки замість діагностики.

Той самий стрибок для шлюзів IPsec описує документація strongSwan про пересилання, де пересилання й правило source-NAT з'єднують клієнта тунелю з внутрішнім хостом. Адресація відрізняється; вимога — ні.

Хто може відкривати сторінку адміністрування

Керування доступом належить роутеру, а не наміру бути обережним. Дозволяйте лише автентифікованій особистості тунелю або діапазону джерел, якому потрібна сторінка, і читайте власний ланцюг входу роутера, а також будь-яку переслану політику локальної мережі. Правило, що дозволяє дротовій локальній мережі дістатися сторінки адміністрування, нічого не каже про клієнта, який приходить на інтерфейс тунелю. Напишіть виняток для конкретної особистості, а потім збережіть другу особистість, якій має бути відмовлено.

Слухач — це друга половина, і він невидимий у виводі міжмережевого екрана. ss -ltnp показує адресу, до якої прив'язаний вебсервер, а служба, прив'язана лише до адреси локальної мережі, не відповість на адресі тунелю, хоч би якими дозвільними були правила. Переприв'язати її або додати адресу — це зміна конфігурації на роутері, а не зміна міжмережевого екрана.

Тримайте автентифікацію й перевірку транспорту ввімкненими за один прохід. Доступність — ще не довіра, і кожен пристрій усередині тунелю не стає від цього адміністратором. Облікові дані тунелю й обліковий запис роутера — окремі привілеї з окремими життєвими циклами, тому ключ загубленого ноутбука можна відкликати, не скидаючи пароль кожного адміністратора.

Перевіряти зовні, а не з дивана

Перевіряйте з мережі, якою ви не керуєте. Підключіться через схвалений тунель, відкрийте нову сесію адміністрування й змініть щось безпечне, що побачите відображеним на сторінці. З дивана ви доводите, що локальна мережа працює, а це ніколи не викликало сумнівів.

Потім перевірте відмови з такою ж ретельністю. Спробуйте сторінку без тунелю й переконайтеся, що вона не відкривається, і переконайтеся, що служба адміністрування взагалі не слухає на адресі WAN. Сторінка, яка просто не пов'язана посиланням, — не керування доступом, а слухач на WAN, що показує форму входу, залишається слухачем на WAN. Якщо пароль — єдине, що стоїть між інтернетом і консоллю роутера, то проєктом є пароль.

Домашні служби варті погляду, поки ви там. Затягування правил керування часто ламає гостьову мережу або резолвер, яким користуються сімейні пристрої, і це виринає через дні як не пов'язана скарга.

Зберегти шлях назад, поки ви щось змінюєте

Перш ніж змінювати маршрути або налаштування тунелю віддалено, підготуйте незалежний шлях назад. Наявна сесія може пережити зміну, яка вже блокує нові з'єднання, і саме так люди замикають себе зовні, дивлячись на сесію, яка ще працює. Варіанти конкретні: заплановане перезавантаження в відому конфігурацію, доступ через консоль або фізично, другий тунель, що не залежить від редагованого налаштування, або позасмугове керування, якщо обладнання його пропонує. Виберіть один і доведіть його до вікна обслуговування, а не під час нього.

Тримайте запис коротким і актуальним: який хост завершує тунель, які особистості можуть дістатися сторінки, до якої адреси прив'язана служба і як відкликається загублений пристрій. Цей список слугує й планом відновлення, бо каже, де живе кожна залежність. Відсутній зворотний маршрут — це проблема маршрутизації, яку треба виправити, і вона ніколи не є приводом публікувати адміністрування в WAN.