الوصول إلى جهاز منزلي عبر VPN للوصول عن بُعد: خمس بوابات

VPN تجاري للخروج إلى الإنترنت يخفي عنوانك؛ لكنه لا يوصلك بمنزلك. الوصول إلى NAS أو الطابعة على شبكة منزلية يحتاج إلى بوابة تقع على تلك الشبكة وإلى عميل يبني نفقًا إليها. ثم يجب أن تجتاز الحزمة خمسة فحوص، و أي فشل في واحد منها يبدو من الخارج بالشكل نفسه.

البوابة 1: يجب أن يختار العميل النفق

تحقق من أن بادئة الوجهة تُوجَّه فعلاً إلى النفق على العميل. ملف تعريف النفق المنقسم الذي يدفع فقط الشبكة الفرعية الخاصة بـ VPN سيرسل 192.168.x.x مباشرة من الواجهة المحلية، حيث لا يذهب إلى أي مكان. انظر إلى جدول التوجيه على العميل لا إلى اسم الملف.

هذا هو الفشل الأكثر شيوعًا مع عملاء الهواتف، الذين غالبًا ما يرسلون افتراضيًا DNS فقط أو بادئة واحدة فقط. إذا كان المسار مفقودًا، فقد تكون المصافحة مثالية والجهاز مع ذلك غير قابل للوصول.

تأكد من أن عنوان التجمع الخاص بالعميل والشبكة الفرعية المنزلية لا يتداخلان قبل المتابعة.

البوابة 2: يجب أن تمرر البوابة

ينتهي VPN على مضيف يجب أن يمرر الحزمة المفكوكة إلى LAN. يتطلب ذلك تمكين تمرير IP وسياسة جدار حماية تسمح بالتدفق من واجهة VPN إلى واجهة LAN. على جهاز توجيه مدمج يكون هذا عادة مدمجًا؛ وعلى صندوق Linux يعمل بـ strongSwan أو WireGuard فهما إعدادان ينساهما الناس. تحقق من الاثنين قبل اختبار الخدمة، لأن أي واحد منهما وحده ينتج المهلة نفسها.

اختبر باستخدام التقاط على واجهة LAN، لأن حزمة لا تظهر هناك أبدًا إما أُسقطت أو لم تُمرر قط.

هذا فشل مختلف عن خدمة ترفض الاتصال، والتمييز يوفر وقتًا كبيرًا. أبقِ التصريح ضيقًا، محصورًا في الخدمة وتجمع VPN بدلاً من الشبكة الفرعية بأكملها.

البوابة 3: مسار الرد يقرر كل شيء

يرد الهدف إلى عنوان المصدر الذي رآه، وهو إما عنوان تجمع العميل أو البوابة، بحسب ما إذا كنت تترجم. إذا كانت البوابة الافتراضية للهدف هي جهاز التوجيه المنزلي ولم يكن لهذا الجهاز مسار إلى تجمع VPN، فإن الرد يخرج عبر الإنترنت ويموت. هذا هو الاتصال أحادي الاتجاه الكلاسيكي.

يوجد حلان مشروعان: إضافة مسار للتجمع على بوابة LAN، أو Source-NAT على بوابة VPN بحيث لا يرى الهدف سوى عنوان البوابة. الثاني أسهل ويفقد هوية المصدر الأصلية.

اختر واحدًا عن قصد واكتب أيهما، لأن قواعد جدار الحماية والسجلات تعتمد عليه. يشرح دليل strongSwan للتمرير الجانب المتعلق بـ Linux من ذلك القرار.

البوابة 4: الأسماء وتداخل البادئات

أسماء الاكتشاف المحلية لا تعبر حدود التوجيه، لذا قد يكون جهاز يظهر باسم ودود داخل المنزل غير مرئي عبر النفق. وفّر DNS للمنطقة الخاصة، أو وثّق العنوان. أي اسم تستخدمه يجب أن يُحلّ إلى شيء يستطيع العميل البعيد توجيهه. لهذا يمكن أن يكون الجهاز قابلًا للوصول بعنوانه وغير مرئي باسمه في الوقت نفسه.

البادئات المتداخلة هي الفخ الآخر: إذا كان تجمع العميل 192.168.1.0/24 والشبكة المنزلية كذلك، يعامل العميل الوجهة كأنها محلية ولا يرسلها عبر النفق أبدًا.

أعد ترقيم أحد الجانبين، أو استخدم تجمعًا من نطاق لن تصادفه في المنزل أبدًا.

البوابة 5: اختبر من خارج المنزل

اختبار من المطبخ لا يثبت شيئًا، لأن الحركة قد لا تغادر LAN أبدًا. اتصل من نقطة اتصال جوال أو شبكة أخرى، ثم امشِ على البوابات بالترتيب: المسار على العميل، والتقاط على واجهة LAN، واستجابة الخدمة، والتقاط الرد، وحل الأسماء. أول بوابة لا تنتج دليلًا هي موضع العمل.

إذا استجابت الخدمة ولم يستجب الاسم، فلديك مشكلة DNS لا مشكلة نفق.

احفظ التكوين العامل في ملاحظة مع التجمع والمسار واختيار NAT، لأن استبدال جهاز التوجيه التالي سيعيد ضبط الثلاثة.