Удаленный доступ и доступ через VPN

Введение

Удалённый доступ к роутеру RTUx68 нужен, чтобы изменить настройки, посмотреть статистику трафика или поправить правила межсетевого экрана, не выезжая на объект.

В статье рассмотрены два способа удалённого доступа и базовые настройки безопасности:

1. доступ по статическому IP-адресу, выданному оператором на SIM-карту роутера;
2. доступ к роутеру, подключённому к VPN-сети;
3. защита роутера при доступе из интернета: смена пароля, отдельный порт SSH и перенаправление портов.

Все настройки выполняются в веб-интерфейсе роутера. О том, как открыть веб-интерфейс, рассказано в статье «Как подключиться к роутеру RTUx68».

Типы IP-адресов на SIM-карте

При подключении к мобильной сети оператор выдаёт роутеру IP-адрес. От типа этого адреса зависит, можно ли подключиться к роутеру извне:

• Динамический внутренний (серый) IP-адрес — меняется при каждом подключении. Роутер получает доступ в интернет, но подключиться к самому роутеру из внешней сети нельзя.
• Динамический внешний (белый) IP-адрес — публичный адрес, доступный из интернета, но меняющийся при каждом подключении. Для постоянного удалённого доступа обычно не подходит.
• Статический внешний IP-адрес — фиксированный публичный адрес, который не меняется при переподключении. Доступен из любой точки интернета.
• Статический внутренний IP-адрес — фиксированный адрес в закрытой сети оператора. Обычно предоставляется на корпоративных тарифах для обмена данными между удалёнными устройствами (услуга частной сети, APN/VPN оператора).

Для удалённого доступа подходят только статические адреса — внешний или внутренний. Услугу подключает оператор связи.

1. Удалённый доступ по статическому IP-адресу

Это самый простой способ. Возможности подключения зависят от типа статического адреса:

• статический внешний IP-адрес — к роутеру можно подключиться с любого ПК, у которого есть выход в интернет;
• статический внутренний IP-адрес — ПК, с которого выполняется подключение, должен находиться в той же частной сети оператора, что и роутер.

Чтобы служба роутера была доступна из мобильной сети, откройте для зоны WAN нужный порт:

• 22 — доступ по SSH;
• 80 — доступ к веб-интерфейсу.

Как открыть порт, описано в статье «Как открывать или перенаправлять TCP/UDP-порты в роутере RTUx68», пример для SSH приведён в разделе 3.2.

2. Удалённый доступ через VPN

VPN-туннель используют, когда нужно объединить две локальные сети (например, сеть офиса и сеть объекта) или организовать закрытый канал связи между двумя точками.

Способ удобен, когда роутер работает VPN-клиентом и сам подключается к VPN-серверу со статическим IP-адресом. В этом случае статический IP-адрес на SIM-карте роутера не нужен.

Роутер поддерживает разные типы туннелей: L2TP, PPTP, GRE, OpenVPN и другие. Настройка туннеля зависит от выбранного протокола и конфигурации сервера, поэтому в каждом случае возможны свои нюансы. Пример построения туннеля приведён в статье «Настройка OpenVPN на примере двух RTUx68».

После того как туннель поднят, локальный IP-адрес роутера (по умолчанию 192.168.88.1) или его адрес в VPN-сети становится доступен с ПК на другой стороне туннеля. Подключитесь к нему по SSH или через веб-интерфейс. Если зона VPN-интерфейса в межсетевом экране не разрешает входящие подключения, откройте для неё нужные порты так же, как описано в разделе 1.

3. Безопасность при удалённом доступе

Статический внешний IP-адрес доступен всем пользователям интернета. Боты и сканеры постоянно проверяют публичные адреса на открытые порты и пытаются подобрать пароли. Поэтому перед открытием доступа из интернета выполните как минимум настройки из этого раздела.

3.1. Смена пароля и имени пользователя

Обязательно замените пароль по умолчанию на уникальный — не короче 8 символов, с буквами разного регистра и цифрами. При необходимости смените и имя пользователя.

Пароль меняется в меню Система → Администрирование:

3.2. Защита доступа по SSH

Самая частая атака из интернета — перебор логина и пароля (брутфорс). Рано или поздно она может дать злоумышленнику доступ к роутеру, а поток запросов нагружает мобильный канал и ухудшает связь. Большинство ботов сканируют стандартный порт SSH 22.

По умолчанию SSH доступен только из LAN. Ниже описаны три меры, которые снижают риск при доступе из WAN.

Открытие порта SSH для WAN

Если вы планируете подключаться к роутеру по SSH из интернета напрямую, разрешите входящие подключения на порт SSH из зоны WAN. Перейдите в меню Сеть → Межсетевой экран, откройте вкладку Правила для трафика и добавьте новое правило:

Задайте параметры правила, как на скриншоте: протокол TCP, источник — зона WAN, порт назначения — порт SSH.

Сохраните и примените настройки. Итоговое правило в списке выглядит так:

Смена порта SSH

Перейдите в меню Система → Администрирование, откройте вкладку Доступ по SSH и в разделе Dropbear замените порт 22 на другой. Рекомендуем использовать порт больше 1024.

Перенаправление внешнего порта на порт SSH

Вместо прямого открытия порта SSH можно настроить перенаправление: подключения на внешний порт (например, 5001) передаются на внутренний порт SSH роутера. Сам порт SSH для WAN при этом не открывается, и стандартное сканирование портов его не обнаружит. При таком способе правило из пункта «Открытие порта SSH для WAN» не требуется.

Перейдите в меню Сеть → Межсетевой экран, откройте вкладку Перенаправление портов и создайте правило:

• Внешняя зона — WAN;
• Внешний порт — порт, на который будут приходить подключения из интернета (больше 1024);
• Внутренняя зона — LAN;
• Внутренний IP-адрес — IP-адрес роутера (по умолчанию 192.168.88.1);
• Внутренний порт — порт SSH: 22 или номер, заданный в разделе Dropbear.

Сохраните и примените настройки. Итоговое правило:

Теперь для подключения по SSH из интернета указывайте статический внешний IP-адрес роутера и внешний порт, например ssh root@<IP-адрес> -p 5001.