Truy cập trang quản trị router qua VPN, không phải qua WAN

Trang quản trị của router mở trong hai giây từ ghế sofa và hết thời gian từ phòng khách sạn, trong khi ứng dụng VPN luôn báo đã kết nối. Thứ bạn có là đường ra, không phải đường về: đường hầm mang lưu lượng của bạn ra internet và dừng ở đó. Để tới một thiết bị bên trong LAN của chính bạn cần một phiên kết thúc trên thứ gì đó có tuyến đường tới đó. Đây là quyết định thiết kế, không phải cài đặt, và nó quyết định phần việc còn lại có khả thi hay không.

Dễ mất đi sự phân biệt này vì một sản phẩm có thể làm cả hai việc. Ứng dụng lối ra thương mại và máy chủ truy cập từ xa có thể nói cùng giao thức trên cùng cổng, và khác biệt là bên nào sở hữu không gian địa chỉ phía sau điểm cuối.

Bên nào của đường hầm sở hữu LAN

Để quản trị, điểm cuối phải nằm trong mạng bạn muốn tới, hoặc có đường đi được cấp phép vào đó. Router chạy máy chủ VPN của riêng nó đáp ứng; một máy chủ nhỏ luôn bật với địa chỉ cố định và tuyến đường tới LAN cũng vậy. Dịch vụ lối ra do bên thứ ba vận hành thì không đáp ứng, vì điểm cuối của nó không có giao diện trên LAN của bạn và không có quy tắc nào cho phép một giao diện xuất hiện. Đây là bước kiểm tra phải hoàn tất trước khi động vào bất cứ thứ gì khác.

Phần sụn hiếm khi gắn nhãn sự khác biệt đó, nên hãy đọc tính năng làm gì chứ không phải nó gọi tên giao thức nào. WireGuard, OpenVPN và IKEv2 đều xuất hiện ở cả hai phía thị trường: một bản dựng gửi lưu lượng gia đình ra ngoài, bản khác nhận thiết bị từ xa của bạn. Bản dựng chỉ dành cho máy khách không thể biến thành máy chủ bằng cấu hình, menu viết thế nào cũng vậy.

Làm cho tuyến đường về tồn tại

Máy chủ WireGuard trên router có địa chỉ giao diện như 10.8.0.1/24 và một mục peer cho máy tính xách tay. Máy khách quyết định đích nào sẽ gửi vào đường hầm, và danh sách chỉ chứa subnet của đường hầm để LAN vô hình, dù máy chủ được cấu hình thế nào. Cả hai đầu phải đồng ý, và thường chỉ một đầu được chỉnh sửa.

wg show wg0 allowed-ips
ip route get 192.168.1.1

Lệnh thứ nhất báo cáo mỗi peer được phép gửi gì từ góc nhìn của máy chủ; lệnh thứ hai báo cáo một địa chỉ LAN thực sự sẽ đi đâu trên máy khách. Đích LAN phân giải thành giao diện đường hầm là định tuyến hoạt động, còn đích đi ra qua cổng vật lý sẽ không bao giờ tới, bất kể tường lửa nói gì. Thêm tiền tố LAN vào danh sách được phép của máy khách và chính hai lệnh đó trở thành bước xác minh thay vì chẩn đoán.

Cùng bước nhảy đó cho cổng IPsec được mô tả bởi tài liệu chuyển tiếp của strongSwan, nơi chuyển tiếp và một quy tắc source-NAT kết nối máy khách đường hầm với máy chủ nội bộ. Cách đánh địa chỉ khác; yêu cầu thì không.

Ai được mở trang quản trị

Kiểm soát truy cập thuộc về router, không thuộc về ý định thận trọng. Chỉ cho phép danh tính đường hầm đã xác thực hoặc dải nguồn cần trang, và đọc chuỗi đầu vào của chính router cùng mọi chính sách LAN được chuyển tiếp. Một quy tắc cho phép LAN có dây tới trang quản trị không nói gì về máy khách đến trên giao diện đường hầm. Viết ngoại lệ cho một danh tính cụ thể, rồi giữ một danh tính thứ hai cần bị từ chối.

Trình lắng nghe là nửa còn lại và nó vô hình trong đầu ra của tường lửa. ss -ltnp hiển thị địa chỉ mà máy chủ web gắn vào, và một dịch vụ chỉ gắn với địa chỉ LAN sẽ không trả lời trên địa chỉ đường hầm, dù các quy tắc có dễ dãi đến đâu. Gắn lại hoặc thêm địa chỉ là thay đổi cấu hình trên router, không phải thay đổi tường lửa.

Giữ xác thực và kiểm tra vận chuyển bật trong cùng một lượt. Tới được không phải là tin cậy, và mọi thiết bị trong đường hầm không vì thế mà trở thành quản trị viên. Thông tin đăng nhập đường hầm và tài khoản router là hai đặc quyền riêng với vòng đời riêng, nên khóa của một máy tính xách tay bị mất có thể bị thu hồi mà không phải đặt lại mật khẩu của mọi quản trị viên.

Kiểm tra từ bên ngoài, không phải từ ghế sofa

Hãy kiểm tra từ một mạng bạn không kiểm soát. Kết nối qua đường hầm đã được phê duyệt, mở một phiên quản trị mới và thay đổi một thứ vô hại mà bạn thấy phản ánh trên trang. Từ ghế sofa bạn đang chứng minh LAN hoạt động, điều chưa bao giờ bị nghi ngờ.

Sau đó kiểm tra các lần từ chối với cùng sự cẩn thận. Thử mở trang mà không có đường hầm và xác nhận nó thất bại, và xác nhận dịch vụ quản trị hoàn toàn không lắng nghe trên địa chỉ WAN. Một trang chỉ không được liên kết không phải là kiểm soát truy cập, và một trình lắng nghe trên WAN hiển thị biểu mẫu đăng nhập vẫn là trình lắng nghe trên WAN. Nếu mật khẩu là thứ duy nhất giữa internet và bảng điều khiển của router, thì thiết kế là một mật khẩu.

Các dịch vụ trong nhà đáng được xem qua khi bạn ở đó. Việc siết chặt quy tắc quản lý thường làm hỏng mạng khách hoặc trình phân giải mà thiết bị của gia đình dùng, và điều đó xuất hiện vài ngày sau như một phàn nàn không liên quan.

Giữ một đường về trong khi bạn thay đổi mọi thứ

Trước khi thay đổi tuyến đường hoặc cài đặt đường hầm từ xa, hãy chuẩn bị một đường về độc lập. Một phiên đang tồn tại có thể sống sót qua thay đổi vốn đã chặn các kết nối mới, và đó chính là cách người ta tự khóa mình ra ngoài trong khi nhìn một phiên vẫn đang hoạt động. Các lựa chọn đều cụ thể: khởi động lại theo lịch tới cấu hình đã biết, truy cập qua bảng điều khiển hoặc vật lý, đường hầm thứ hai không phụ thuộc cài đặt đang chỉnh sửa, hoặc quản lý ngoài băng tần nếu phần cứng hỗ trợ. Chọn một và chứng minh trước cửa sổ bảo trì, không phải trong lúc đó.

Giữ hồ sơ ngắn và cập nhật: máy chủ nào kết thúc đường hầm, danh tính nào có thể tới trang, dịch vụ gắn vào địa chỉ nào và thiết bị bị mất được thu hồi ra sao. Danh sách đó cũng là kế hoạch khôi phục, vì nó nói mỗi phụ thuộc sống ở đâu. Một tuyến đường về thiếu là vấn đề định tuyến cần sửa, và nó không bao giờ là lý do để công bố quản trị trên WAN.