Kí ni í ṣe tí admin róútà fi dáhùn sílẹ̀ lẹ́yìn ìyípadà VPN

O yí ọ̀nà tàbí ìlànà odi iná padà láti dán ojú-ọ̀nà wò lórí róútà, àti nísisìyí ojú-ìwé admin kò dáhùn mọ́ láti kọ̀ǹpútà àgbékà tí ó ń ṣiṣẹ́ dáadáa ní ìṣẹ́jú mẹ́wàá sẹ́yìn. Ìdáhùn àkọ́kọ́ ni láti fi ẹ̀sùn kan VPN. Ní ọ̀pọ̀ ìgbà ojú-ọ̀nà náà wà ní àlàáfíà, ọ̀kan nínú àwọn ohun mẹ́ta mìíràn ló ti bàjẹ́: kò sí ọ̀nà padà sí àdírẹ́sì róútà fúnra rẹ̀, ìlànà ìwọlé ń sọ ìbéèrè nù, tàbí iṣẹ́ wẹ́ẹ̀bù kan kò ń gbọ́ ní àdírẹ́sì tí o ń pè. Àwọn mẹ́tẹ̀ẹ̀ta náà máa ń rí bákan náà nínú aṣàwákiri, ìdí nìyẹn tí àwọn ènìyàn fi ń tún ojú-ọ̀nà bẹ̀rẹ̀ fún wákàtí kan tí wọn kò kọ́ nǹkan kan.

Ìtàn àròsọ tí ó tọ́ láti pa kọ́kọ́ nìyí: ojú-ọ̀nà tí ń ṣiṣẹ́ kì í ṣe ọ̀nà padà wọlé. Ó jẹ́ ìsopọ̀ nẹ́tíwọ́kì tuntun pẹ̀lú àwọn ìbéèrè ìgbẹ́kẹ̀lé tirẹ̀, ó sì lè yọ ọ̀nà ìṣàkóso àtijọ́ rẹ kúrò ní ìdákẹ́jẹ́ nígbà tí ó ń ṣí ọ̀nà tuntun tí ẹnìkan kò yẹ̀wò.

Ojú-ọ̀nà kò jẹ́ ọ̀nà ìṣàkóso rí

Ìfiránṣẹ́ àti ìwọlé jẹ́ iṣẹ́ ọ̀tọ̀ọ̀tọ̀. "Ṣé alábàárà lè dé NAS nípasẹ̀ ojú-ọ̀nà?" jẹ́ ìbéèrè ìfiránṣẹ́ nípa àwọn pákẹ́tì tí ń kọjá róútà. "Ṣé mo lè ṣí port SSH róútà?" jẹ́ ìbéèrè ìwọlé nípa àwọn pákẹ́tì tí a fi ránṣẹ́ sí róútà fúnra rẹ̀. Ìlànà àyọ̀nà tí a kọ fún ìrìnàjò tí a fi ránṣẹ́ kò ṣe nǹkan kan fún ìbéèrè kejì, ìdí tí ó sì wọ́pọ̀ jùlọ tí ojú-ọ̀nà tí ń gbé ìrìnàjò dáadáa yóò fi kọ ìpàdé admin rẹ sílẹ̀ ni ìdí yìí.

Àṣìṣe òdìkejì ni láti gbẹ́kẹ̀lé orúkọ ìtakùn. A fi ọ̀nà náà ṣe àkọ́kọ́ sí ẹlẹgbẹ́, kì í ṣe sí gbogbo iṣẹ́ tí ó wà lẹ́yìn rẹ̀, ọ̀rọ̀ VPN lórí àmì ìtakùn kò sì sọ nǹkan kan nípa irú orísun tí ó yẹ kí a gbà láàyè láti wọlé.

Ìpele kìíní: ṣé ọ̀nà wà sí àdírẹ́sì róútà fúnra rẹ̀?

Bẹ̀rẹ̀ lórí alábàárà kí o sì béèrè lọ́wọ́ kọ́kọ́rọ́ ibi tí pákẹ́tì yóò lọ. Lórí Linux ip route get 10.6.0.1 ń tẹ ọ̀nà tí a yàn, ìtakùn àsọjáde àti àdírẹ́sì orísun. Tí ó bá jábọ̀ ọ̀nà àìtọ́ka sí olùpèsè rẹ, pákẹ́tì kò ní wọ ojú-ọ̀nà rí, kò sì sí ìlànà kankan lórí róútà tí ó lè gbà á là.

Ẹ̀gbẹ́ ojú-ọ̀nà ní ẹ̀yà ìbéèrè tirẹ̀. WireGuard ka AllowedIPs sí tábìlì ìtọ́nisọ́nà kọ́kọ́rọ́ ìkọ̀kọ̀: ní ẹ̀gbẹ́ kọ̀ọ̀kan ó ń kéde àwọn àdírẹ́sì orísun tí ẹlẹgbẹ́ lè lò àti àwọn ibi tí a ń rán sí ẹlẹgbẹ́ yẹn. Tí àkọsílẹ̀ alábàárà kò bá ní àdírẹ́sì ojú-ọ̀nà róútà, alábàárà kò ní ọ̀nà sí ibẹ̀. Tí àkọsílẹ̀ olùpèsè fún alábàárà yẹn kò bá bo àdírẹ́sì ojú-ọ̀nà alábàárà, olùpèsè yóò sọ pákẹ́tì nù kí ó tó wo ìlànà odi iná kankan.

Jẹ́rìí àdírẹ́sì gbòǹgbò tí o retí láti dé kí o tó ṣàtúpalẹ̀ ìlànà. Àkọsílẹ̀ DNS tí ó ti gbó tàbí àkọsílẹ̀ aládúgbò tí a fi pamọ́ ṣáájú ìyípadà yóò gbé ọ lọ sí àdírẹ́sì tí róútà kò ní rí.

Ìpele kejì: ìlànà ìwọlé, kì í ṣe ìlànà ìfiránṣẹ́

Odi iná ń ṣàyẹ̀wò àwọn ìlànà lórí ìtakùn tí pákẹ́tì ti dé. Lórí pfSense àti OPNsense, àkójọpọ̀ ìtakùn àti ìtòlẹ́sẹẹsẹ ìlànà ń pinnu bóyá a gbà ìrìnàjò sí àwọn iṣẹ́ odi iná fúnra rẹ̀ láàyè; ìlànà tí ń jẹ́ kí àwọn alábàárà LAN jáde sí íńtánẹ́ẹ̀tì kì í ṣe ìlànà tí ń jẹ́ kí ẹlẹgbẹ́ ojú-ọ̀nà ṣí GUI wẹ́ẹ̀bù. Lórí OpenWrt pẹ̀lú firewall4, gbogbo agbègbè ń gbé ìlànà ìwọlé, option input 'ACCEPT' tàbí 'REJECT', ìtakùn ojú-ọ̀nà ní agbègbè tí ìwọlé rẹ̀ jẹ́ REJECT yóò kọ àwọn ìsopọ̀ ìṣàkóso nígbà tí ó ṣì ń fi ìrìnàjò ránṣẹ́ tí a bá gbà ìfiránṣẹ́ láàyè.

Má ṣe pa ìlànà àtakò-títìpa mọ́ kí ọ̀nà tuntun lè ṣiṣẹ́. Ìlànà yẹn ń dá ìlànà búburú lẹ́kun láti tì àdírẹ́sì ìṣàkóso LAN mọ́; ó ń dáàbò bo ẹ̀wọ̀n LAN, kì í ṣe ẹ̀wọ̀n ojú-ọ̀nà tí o ṣẹ̀ṣẹ̀ ṣẹ̀dá. Fi ìlànà tóóró kan kún fún orísun alámójútó kí o sì fi àwọ̀n ààbò sílẹ̀ báyìí. Ìwé pfSense nípa ààtò alámójútó ṣàlàyé ibi tí àwọn ìṣàkóso yẹn wà.

# on the router: bind addresses and the loaded ruleset
ss -ltnp | grep -E ':(22|80|443)\b'         # Linux / OpenWrt
sockstat -4 -l | grep -E ':(22|80|443)\b'   # FreeBSD / pfSense
nft list ruleset | grep -A6 'chain input'    # firewall4
pfctl -sr | head -40                         # pf / pfSense

Ìpele kẹta: ṣé nǹkan kan ń gbọ́ ní àdírẹ́sì yẹn?

Iṣẹ́ lè máa ṣiṣẹ́ tí a kò sì lè dé ọ̀dọ̀ rẹ̀ nítorí pé ó so mọ́ àdírẹ́sì kan ṣoṣo. uhttpd OpenWrt ń tọ́jú àwọn àkọsílẹ̀ ìgbọ́rọ̀ pàtó nínú /etc/config/uhttpd, fún àpẹẹrẹ list listen_http '0.0.0.0:80'; ìkọ́ tí ó so mọ́ àdírẹ́sì LAN nìkan kò gba nǹkan kan ní àdírẹ́sì ojú-ọ̀nà, àwọn ọjà tí ń fi ètò ìtakùn ìgbọ́rọ̀ hàn sì ń hùwà bákan náà. Àwọn àṣẹ ìgbọ́rọ̀ tí ó wà lókè ń dáhùn èyí tààrà.

Lẹ́yìn náà ya ìkọ̀sílẹ̀ kúrò nínú ìdákẹ́jẹ́. nc -vz 10.6.0.1 443 tí ó ń dá ìsopọ̀ tí a kọ̀ padà túmọ̀ sí pé pákẹ́tì dé ọ̀dọ̀ róútà tí nǹkan kan kọ̀ ọ́, yálà port tí ó ti dí tàbí ìlànà ìkọ̀sílẹ̀ pàtó. Rírorò títí dé àkókò ìparí túmọ̀ sí pé a sọ pákẹ́tì nù tàbí a kò tọ́ ọ nà rí. Ìyàtọ̀ yẹn ń sọ ìpele tí o yẹ kí o yẹ̀wò lẹ́yìn náà, ó sì ń gba ìṣẹ́jú àáyá márùn-ún.

Ìtakùn VPN jẹ́ ààlà, kì í ṣe ọ̀nà ìmúpadà

Ìkọ̀kọ̀ ń dáàbò bo waya; kò sọ nǹkan kan nípa ẹni tí ó lè ṣí ojú-ìwé admin. Nígbà tí ojú-ọ̀nà bá ń ṣiṣẹ́, kọ ojú ìfẹ́ láti yanjú ìdè dé nípasẹ̀ gbígba ohun gbogbo láàyè lórí ìtakùn ojú-ọ̀nà. Fún àwọn alámójútó ní ìlànà tí ó so mọ́ àdírẹ́sì ojú-ọ̀nà wọn fúnra wọn tàbí ojú-ọ̀nà ọ̀tọ̀ fún alámójútó nìkan, kí o sì pa àwọn olùlò lasan, NAS, kámẹ́rà àti kọ̀ǹpútà àgbékà ẹbí mọ́ kúrò ní port ìṣàkóso. Ẹlẹgbẹ́ tí ó nílò pínpín fáìlì kò gbọdọ̀ wà ní ìlànà kan sí ìwọlé róútà.

Ipa róútà ń yí ìdáhùn padà. Róútà tí ó parí ojú-ọ̀nà lè gba àwọn alámójútó láti inú rẹ̀ lẹ́tọ̀ọ́, nígbà tí róútà tí ó kàn ń lo ojú-ọ̀nà gẹ́gẹ́ bí àsọjáde íńtánẹ́ẹ̀tì kò yẹ kí ó ṣe bẹ́ẹ̀ ní ọ̀pọ̀ ìgbà. Nínú àwọn ipò méjèèjì, àyọ̀nà ẹ̀wọ̀n kì í ṣe ìwọlé, nítorí náà jẹ́ kí ìjẹ́rìí àkọsílẹ̀ àti ààbò ìrìnàjò wà ní ṣíṣí.

Ìgbésẹ̀ èkúnréré tí àwọn ènìyàn ń ṣe lẹ́yìn títìpa burú jù: pípa ìṣàkóso WAN mọ́ tàbí fífi port ránṣẹ́ sí GUI wẹ́ẹ̀bù. Ìyẹn ń sọ ìdádúró kúkúrú di ìfarahàn àìlópin, ojú-ìwé ìwọlé yóò sì wà ní àrúgẹ́ẹ̀dẹ̀ fún gbogbo aṣàwárí lórí íńtánẹ́ẹ̀tì. Dán ẹ̀gbẹ́ tí a kọ̀ wò pẹ̀lú, kì í ṣe ẹ̀gbẹ́ tí a gbà nìkan, kí ẹlẹgbẹ́ tí kò yẹ kí ó ní ààtò alámójútó lè gba àkókò ìparí tàbí ìkọ̀sílẹ̀ dípò ìbéèrè ìwọlé.

Dán pẹ̀lú ìsopọ̀ tuntun pẹ̀lú. Odi iná alátọ́ka ń tọ́jú àwọn ìṣàn tí ó wà nínú tábìlì ipò rẹ̀, nítorí náà ìpàdé SSH tí o ti ṣí lè là kọjá ìyípadà tí ń dí gbogbo ìsopọ̀ tuntun. Bẹ́ẹ̀ ni títìpa fi ń wà ní àìrí títí dé ìtúnbẹ̀rẹ̀ tó kàn tàbí oorun kọ̀ǹpútà tó kàn.

Mura ọ̀nà padà ṣáájú kí o tó fi ọwọ́ kan ìlànà

Kọ ohun mẹ́rin ṣáájú ìyípadà àkọ́kọ́: bí ìwọ yóò ṣe dé ẹ̀rọ náà tí ojú-ọ̀nà bá kú, fún àpẹẹrẹ console onílà, console olùpèsè tàbí ẹ̀rọ kan nínú LAN; ibi tí a ń gbé ètò ìsinsìnyí jáde; ìlànà tàbí ọ̀nà kan ṣoṣo tí ìwọ yóò yí padà; àti bí ìwọ yóò ṣe dá ohun yẹn padà gan-an. Lórí OpenWrt sysupgrade -b /tmp/backup.tar.gz ń mú ètò, àwọn àtúnṣe sì wà ní ìdúró títí dé uci commit, èyí tí ń fún ọ ní ìdápadà tí kò wọ́n tí o bá ṣàkíyèsí ní àkókò. pfSense ń tọ́jú ìtàn ètò, AutoConfigBackup sì ń ràn ọ lọ́wọ́ kìkì tí a bá ti mọ́ ọ́ tẹ́lẹ̀. Tí róútà bá ń ṣe àkójọ ìlànà fail-closed, jẹ́rìí pé ọ̀nà ìtọ́jú tí o gbèrò kò wà nínú ìrìnàjò tí ìlànà yẹn ń dí, kí o sì rántí pé ìtúnbẹ̀rẹ̀ ń tún àwọn ìlànà ayérayé ṣiṣẹ́ dípò pá wọn.

Yí ààlà kan padà fún ìgbìyànjú kọ̀ọ̀kan, lẹ́yìn náà dán wò láti ìsopọ̀ tuntun dípò shell tí o fi sílẹ̀ ní ṣíṣí. Tí ìdánwò bá kùnà, dá ìyípadà kan náà padà kí o tó fi ọwọ́ kan ìpele tó kàn. Ojú-ọ̀nà lè wà ní òkè nígbà gbogbo, ṣùgbọ́n àmì ipò àwọ̀ ewé rẹ̀ kì í ṣe ẹ̀rí pé o ṣì lè wọlé.

Ìṣàyẹ̀wò kíákíá kí o tó lọ:

• Ṣé o lè dé róútà láti orísun tí kò gbára lé ìlànà tí o ṣẹ̀ṣẹ̀ ṣàtúnṣe?
• Ṣé ìlànà ìwọlé lórí ìtakùn ojú-ọ̀nà ń gba orísun alámójútó nìkan láàyè?
• Ṣé iṣẹ́ ìṣàkóso so mọ́ àdírẹ́sì tí ó wà lórí ojú-ọ̀nà?
• Ṣé o ti dán ẹlẹgbẹ́ tí a kọ̀ kan àti ìpàdé tuntun kan wò?
• Ṣé ojú ìṣàkóso WAN ṣì dí?