Bereik 'n toestel in die huis oor 'n afstandtoegang-VPN: vyf hekke

'n Kommersiële internet-uitgang-VPN verberg jou adres; dit verbind jou nie met jou eie huis nie. Om die NAS of die drukker op 'n tuisnetwerk te bereik, is 'n deurgang op daardie netwerk nodig en 'n kliënt wat 'n tonnel daarheen bou. Die pakket moet dan vyf kontroles deurgaan, en elkeen wat misluk lyk van buite dieselfde.

Hek 1: die kliënt moet die tonnel kies

Kontroleer of die bestemmingsvoorvoegsel werklik op die kliënt in die tonnel gestuur word. 'n Split-tonnel-profiel wat net die VPN se eie subnet stuur, sal 192.168.x.x reguit uit die plaaslike koppelvlak stuur, waar dit nêrens heen gaan nie. Kyk na die kliënt se roeteringstabel, nie na die profielnaam nie.

Dit is die algemeenste fout by selfoonkliënte, wat dikwels net DNS of net een voorvoegsel stuur. As die roete ontbreek, kan die handdruk perfek wees en die toestel steeds onbereikbaar.

Bevestig dat die kliënt se poeladres en die tuissubnet mekaar nie oorvleuel voordat jy verder gaan nie.

Hek 2: die deurgang moet aanstuur

Die VPN eindig op 'n gasheer wat die ontslote pakket na die LAN moet aanstuur. Dit vereis IP-aansturing wat geaktiveer is en 'n firewall-beleid wat die vloei van die VPN-koppelvlak na die LAN-koppelvlak toelaat. Op 'n roeteerder-toestel is dit gewoonlik ingebou; op 'n Linux-boks met strongSwan of WireGuard is dit twee instellings wat mense vergeet. Kontroleer albei voordat jy die diens toets, want elkeen alleen lewer dieselfde tyduitloop.

Toets met 'n opname op die LAN-koppelvlak, want 'n pakket wat nooit daar verskyn nie, is laat val of nooit aangestuur nie.

Dit is 'n ander fout as 'n diens wat die verbinding weier, en die onderskeid spaar baie tyd. Hou die toestemming smal, beperk tot die diens en die VPN-poel eerder as die hele subnet.

Hek 3: die antwoordpad besluit alles

Die teiken antwoord na die bronadres wat dit gesien het, wat óf die kliënt se poeladres óf die deurgang is, afhangend van of jy vertaal. As die teiken se verstekdeurgang die tuisroeteerder is en daardie roeteerder het geen roete na die VPN-poel nie, verlaat die antwoord via die internet en sterf. Dit is die klassieke eenrigtingverbinding.

Twee wettige oplossings bestaan: voeg 'n roete vir die poel by die LAN-deurgang, of source-NAT by die VPN-deurgang sodat die teiken altyd net die deurgangadres sien. Die tweede is makliker en verloor die oorspronklike bronidentiteit.

Kies een doelbewus en skryf neer watter, want firewall-reëls en logs hang daarvan af. Die strongSwan-aansturingsgids verduidelik die Linux-kant van daardie keuse.

Hek 4: name en voorvoegsel-oorvleueling

Plaaslike ontdekkingsname steek nie 'n geroteerde grens oor nie, so 'n toestel wat binne die huis as 'n vriendelike naam verskyn, kan oor die tonnel onsigbaar wees. Voorsien DNS vir die private sone, of dokumenteer die adres. Watter naam jy ook al gebruik, dit moet oplos na iets wat die afstandkliënt kan roeteer. Dit is hoekom 'n toestel per adres bereikbaar en per naam onsigbaar kan wees.

Oorvleuelende voorvoegsels is die ander lokval: as die kliëntpoel 192.168.1.0/24 is en die tuisnetwerk ook, behandel die kliënt die bestemming as plaaslik en stuur dit nooit deur die tonnel nie.

Hernoem een kant, of gebruik 'n poel uit 'n reeks wat jy nooit by die huis sal teëkom nie.

Hek 5: toets van buite die huis

'n Toets uit die kombuis bewys niks, want die verkeer verlaat die LAN dalk nooit. Verbind vanaf 'n mobiele hotspot of 'n ander netwerk en werk die hekke in volgorde deur: roete op die kliënt, opname op die LAN-koppelvlak, diensantwoord, antwoordopname en naamoplossing. Die eerste hek wat geen bewyse lewer nie, is waar die werk lê.

As die diens antwoord maar die naam nie, het jy 'n DNS-probleem eerder as 'n tonnelprobleem.

Hou die werkende konfigurasie in 'n nota met die poel, die roete en die NAT-keuse, want die volgende roeteerdervervanging sal al drie terugstel.