Router admin sahifasiga WAN orqali emas, VPN orqali yeting

Router admin sahifasi divandan ikki soniyada ochiladi, mehmonxona xonasidan esa vaqt tugaydi, holbuki VPN mijozi doim ulanganligini bildiradi. Sizda chiqish yo‘li bor, qaytish yo‘li yo‘q: tunnel trafigingizni internetga olib boradi va shu yerda to‘xtaydi. O‘z LAN-ingiz ichidagi qurilmaga yetish uchun u yerga marshruti bor narsada tugaydigan sessiya kerak. Bu dizayn qarori, sozlama emas, va qolgan ish umuman mumkinmi-yo‘qmi shuni belgilaydi.

Bu farqni yo‘qotish oson, chunki bitta mahsulot ikkala ishni ham bajara oladi. Tijorat chiqish mijozi va masofaviy kirish serveri bir portda bir protokolda gaplashishi mumkin, farq esa endpoint orqasidagi manzil maydoniga qaysi tomon egalik qilishidadir.

Tunnelning qaysi tomoni LAN-ga egalik qiladi

Administratsiya uchun endpoint siz yetib bormoqchi bo‘lgan tarmoq ichida bo‘lishi yoki unga ruxsat etilgan yo‘li bo‘lishi kerak. O‘z VPN serverini ishga tushirgan router mos keladi; doimiy manzil va LAN-ga marshrutga ega kichik, doim yoniq xost ham mos keladi. Uchinchi tomon boshqaradigan chiqish xizmati mos kelmaydi, chunki uning endpointida LAN-ingizda interfeys yo‘q va bittasi paydo bo‘lishiga ruxsat beradigan qoida ham yo‘q. Boshqa narsaga tegishdan oldin shu tekshiruvni tugatish kerak.

Proshivka bu farqni kamdan-kam belgilaydi, shuning uchun protokol nomini emas, funksiya nima qilishini o‘qing. WireGuard, OpenVPN va IKEv2 ikkalasi ham bozorning ikki tomonida uchraydi: bir build uy trafigini tashqariga yuboradi, boshqasi masofaviy qurilmangizni qabul qiladi. Faqat mijoz uchun buildni konfiguratsiya bilan serverga aylantirib bo‘lmaydi, menyu qanday yozilgan bo‘lmasin.

Qaytish marshrutini mavjud qilish

Routerdagi WireGuard serverida 10.8.0.1/24 kabi interfeys manzili va noutbuk uchun peer yozuvi bo‘ladi. Mijoz qaysi manzillarni tunnelga yuborishni o‘zi hal qiladi va faqat tunnel subnetini o‘z ichiga olgan ro‘yxat LAN-ni ko‘rinmas qoldiradi, server qanday sozlangan bo‘lmasin. Ikki uchi kelishishi kerak va odatda faqat bittasi tahrirlanadi.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Birinchi buyruq server nuqtai nazaridan har bir peerga nima yuborishga ruxsat berilganini bildiradi; ikkinchisi LAN manzili mijozda aslida qayerga ketishini bildiradi. Tunnel interfeysiga hal bo‘ladigan LAN manzili ishlaydigan marshrutlashdir, fizik shlyuzdan chiqadigan esa firewall nima desa ham hech qachon yetib bormaydi. Mijozning ruxsat etilgan ro‘yxatiga LAN prefiksini qo‘shing, shunda o‘sha ikki buyruq diagnostika o‘rniga tekshiruv bosqichiga aylanadi.

IPsec shlyuzlari uchun o‘sha sakrashni strongSwan-ning yo‘naltirish hujjati tavsiflaydi, u yerda yo‘naltirish va source-NAT qoidasi tunnel mijozini ichki xost bilan bog‘laydi. Manzillash farq qiladi; talab emas.

Admin sahifasini kim ochishi mumkin

Kirish nazorati routerga tegishli, ehtiyot bo‘lish niyatiga emas. Faqat sahifaga muhtoj autentifikatsiyalangan tunnel identifikatoriga yoki manba diapazoniga ruxsat bering va routerning o‘z kirish zanjirini hamda har qanday yo‘naltirilgan LAN siyosatini o‘qing. Simli LAN-ga admin sahifasiga yetishga ruxsat beradigan qoida tunnel interfeysiga keladigan mijoz haqida hech narsa demaydi. Muayyan identifikator uchun istisno yozing, so‘ng rad etilishi kerak bo‘lgan ikkinchi identifikatorni saqlang.

Tinglovchi ikkinchi yarmi va u firewall chiqishida ko‘rinmaydi. ss -ltnp veb-server bog‘langan manzilni ko‘rsatadi va faqat LAN manziliga bog‘langan xizmat tunnel manzilida javob bermaydi, qoidalar qanchalik ruxsat beruvchi bo‘lmasin. Uni qayta bog‘lash yoki manzil qo‘shish routerda konfiguratsiya o‘zgarishi, firewall o‘zgarishi emas.

Autentifikatsiya va transport tekshiruvini bitta o‘tishda yoniq holda saqlang. Yetib borish ishonch emas, va tunnel ichidagi har bir qurilma shu bilan administrator bo‘lib qolmaydi. Tunnel hisob ma’lumotlari va router hisobi alohida hayot tsikliga ega alohida imtiyozlardir, shuning uchun yo‘qolgan noutbuk kalitini har bir administratorning parolini tiklamasdan bekor qilish mumkin.

Tashqaridan sinash, divandan emas

Siz nazorat qilmaydigan tarmoqdan sinang. Tasdiqlangan tunnel orqali ulaning, yangi admin sessiyasini oching va sahifada aks etganini ko‘radigan zararsiz narsani o‘zgartiring. Divandan siz LAN ishlayotganini isbotlaysiz, bu hech qachon shubha ostida bo‘lmagan.

Keyin rad etishlarni xuddi shunday ehtiyotkorlik bilan sinang. Sahifani tunnelsiz ochishga urinib ko‘ring va u muvaffaqiyatsiz bo‘lishini tasdiqlang, administratsiya xizmati WAN manzilida umuman tinglamasligini tasdiqlang. Faqat havolasiz sahifa kirish nazorati emas, va kirish formasini ko‘rsatadigan WAN tinglovchisi hali ham WAN tinglovchisidir. Agar parol internet va router konsoli o‘rtasidagi yagona narsa bo‘lsa, dizayn paroldir.

Uydagi xizmatlarga u yerda bo‘lganingizda bir qarash kerak. Boshqaruv qoidalarini qattiqlashtirish ko‘pincha mehmon tarmog‘ini yoki oila qurilmalari ishlatadigan hal qiluvchini buzadi va bu bir necha kundan keyin aloqasiz shikoyat sifatida chiqadi.

O‘zgartirishlar paytida qaytish yo‘lini saqlash

Marshrutlar yoki tunnel sozlamalarini masofadan o‘zgartirishdan oldin mustaqil qaytish yo‘lini tayyorlang. Mavjud sessiya yangi ulanishlarni allaqachon to‘sib qo‘ygan o‘zgarishdan omon qolishi mumkin va odamlar hali ishlab turgan sessiyani kuzatib o‘zlarini aynan shunday qulflab qo‘yadilar. Variantlar aniq: ma’lum konfiguratsiyaga rejalashtirilgan qayta yuklash, konsol yoki jismoniy kirish, tahrirlanayotgan sozlamaga bog‘liq bo‘lmagan ikkinchi tunnel yoki apparat taqdim etadigan joyda tarmoqdan tashqari boshqaruv. Birini tanlang va texnik xizmat oynasidan oldin isbotlang, uning davomida emas.

Yozuvni qisqa va dolzarb saqlang: qaysi xost tunnelni tugatadi, qaysi identifikatorlar sahifaga yetadi, xizmat qaysi manzilga bog‘lanadi va yo‘qolgan qurilma qanday bekor qilinadi. Bu ro‘yxat tiklash rejasi sifatida ham xizmat qiladi, chunki har bir bog‘liqlik qayerda yashashini aytadi. Yo‘qolgan qaytish marshruti tuzatiladigan marshrutlash muammosi va u hech qachon administratsiyani WAN-da e’lon qilish uchun sabab emas.