Ev VPN serveri və bulud serveri: hansı NAS-ınıza çatır?

Tunel qalxır, klient yaşıl nöqtə göstərir və ssh 192.168.1.20 yenə də vaxt aşımına qədər asılı qalır. Kiçik bir bulud instansiyası icarəyə götürüb ona WireGuard qurduqdan sonra mən də məhz bunu yaşadım: əl sıxma qaydasında, DNS qaydasında, amma masamdakı NAS sanki Aydadır. Tuneldə heç bir qüsur yox idi. Endpoint evimə marşrutu olmayan şəbəkədə yerləşdirilmişdi. Endpoint yeri hansı şəbəkələrin qonşu olduğunu müəyyən edir, ona görə onu əvvəlcə toxunmalı olduğunuz resursa görə seçin, hostinqi ikinci yerdə müqayisə edin.

Tunel yalnız endpoint-in marşrutlaşa bildiyi şəbəkələrə çatır

VPN klientinizə endpoint-in öz marşrutlaşdırma domeni daxilində ünvan verir. Klient 192.168.1.20 ünvanına paket göndərdikdə endpoint bunun hara getdiyini bilməlidir. Bulud VM-inin cədvəli provayderin VPC alt şəbəkələrini tanıyır; sizin LAN-ınızdan heç vaxt eşitməyib. Qoşulmaq və çatmaq iki fərqli faktdır və ev-bulud qarışıqlığının çoxu birincini ikincinin sübutu saymaqdan gəlir.

Bir əmr məsələni həll edir. Endpoint-də ip route get 192.168.1.20 ya LAN interfeysini adlandırır, ya da defolt marşruta işarə edir. Ev qutusunda cavab LAN tərəfidir. Bulud instansiyasında paket internetə tərəf çıxır və məhv olur. Aktivləşdirmək net.ipv4.ip_forward=1 və MASQUERADE qaydası əlavə etmək bunu dəyişmir, çünki ev tərəfində heç nə buluda keçid bağlamayana qədər yönləndiriləcək heç nə yoxdur.

Ev halının ikinci yarısı var: geri yol. LAN-ı tunel qutusu ilə tərk edən paketlər NAT olunur, ya da LAN tunel alt şəbəkəsinə geri statik marşrut tələb edir. Yalnız bir istiqamət işlədikdə, sysctl net.ipv4.conf.all.rp_filter yoxlayın. Sərt tərs yol filtrləməsi marşrutun gözlədiyindən fərqli interfeysə gələn cavabları atır və simptom tam olaraq firewall qaydası kimi görünür.

Konfiqurasiyaya toxunmadan əvvəl simptomu oxuyun

Tunel qurulmur: açarlar, endpoint ünvanı və ya bloklanmış UDP portu. Tunel qalxır, amma LAN hostları ölü: yerləşmə və marşrutlaşdırma. Tunel qalxır, amma gəzinti ölü: yönləndirmə, NAT və ya DNS. Bunlar üç qat və üç fərqli yoxlamadır, artıq doğru olan konfiqurasiyanı yenidən yazmaq isə bir axşam itirir.

Evə giriş əldə edilə bilənliyi ayrıca yoxlamağa dəyər, çünki evdə hostinqin ümumiyyətlə mümkün olub-olmadığını o həll edir. Routerinizin bildirdiyi WAN ünvanını kənar hostun gördüyü ünvanla müqayisə edin. Əgər o, 100.64.0.0/10 aralığına düşürsə və ya ikisi uyğunsuzdursa, siz carrier-grade NAT arxasındasınız və heç bir port yönləndirməsi işləməyəcək. Həqiqi variantlar rele, evdən bayıra zəng edən bulud keçidi və ya endpoint-i köçürməkdir.

Ev hostinqi sizə nə qazandırır və nəyə başa gəlir

Ev default olaraq LAN-ın içində oturan yeganə yerləşmədir və serveri oraya qoymağın bütün səbəbi budur. Yalnız lokal seqmentdə cavab verən cihazlar, məsələn printerlər və qeyri-lokal alt şəbəkələri rədd edən NAS admin səhifələri, əlavə marşrutlaşdırma olmadan işləyir. Siz həm də maşını, routeri və uplink-i özünüz idarə edirsiniz.

Xərclər fizikidir. Ev yükləməsi bütün klientlər üçün eyni anda tavanır, ona görə video zəng və ehtiyat nüsxə eyni boru uğrunda yarışır. Elektrik, disk köhnəlməsi, yamaqlar, DDNS tələb edən dinamik ünvan, UDP-ni içəri yönləndirməli router və bəlkə ikiqat NAT — hamısı sizin üzərinizə düşür. İnsanların atladığı şey bərpadır: qutu siz yoxkən ölürsə, evə yeganə yolunuz da onunla ölür. Eyni açarlarla ikinci cihaz, ya da heç olmasa fiziki giriş planı saxlayın.

Evdə qutu olmadan LAN girişi istəyirsinizsə, özünü elə göstərmək əvəzinə keçid qurun. Bulud endpoint-i routerə çevrilir: ev tərəfindən AllowedIPs = 192.168.1.0/24 ilə bulud peer-inə tunel, üstəgəl bulud qutusunda yönləndirmə və NAT. strongSwan-ın yönləndirmə təlimatı bu quraşdırmanın geri yol yarısını izah edir və bu cəhdlərin çoxu məhz orada uğursuz olur. Ev peer-i artıq hər şeyin işləməsi üçün qalxmalıdır, yəni bir asılılığı digəri ilə dəyişdiniz və bunu yazmalısınız.

Bulud endpoint-i əslində nə üçündür

Bulud endpoint-i ictimai çıxışınızı dəyişir. Trafik provayderin ünvan aralığından çıxır və saytlar ev ünvanınızı deyil, o ünvanı görür. Dəyər bundadır və buna görə bulud VPN sizə NAS vermir: çıxışı köçürdünüz, LAN-ı yox.

Siz hələ də qonaq sistemi, VPN xidmətini və onun etimadnamələrini idarə edirsiniz, provayder isə hipervizoru və fiziki şəbəkəni idarə edir; bu bölgü gecə saat 2-də nəsə sındıqda önəm kəsb edir. İctimai endpoint davamlı skan edilir, ona görə idarəetmə portunu bağlı saxlayın, yalnız VPN portuna icazə verin və cədvəl üzrə yamaqlayın. Təhlükəsizlik qrupları və provayder firewall-ları həmin porta icazə verməlidir, bəzi buludlar isə instansiyada mənbə və təyinat yoxlamasını düzəltməyincə yönləndirilmiş trafiki atır.

Kiçik instansiya bir neçə klienti örtür, amma şifrələmə CPU işidir və kreditləri tükənmiş burstable instansiya davamlı yük altında qeyri-bərabər davranır. Spesifikasiya vərəqinə deyil, həqiqətən istifadə etdiyiniz yola baxın.

Yaza biləcəyiniz bir qərar

Yerləşməni qutunun etiketi deyil, tapşırıq müəyyən edir. Ev LAN-ında cihaz lazımdırsa, ən ucuz düzgün cavab evdə endpoint-dir; bulud qutusu yalnız geri keçidi qurduqdan sonra işləyir. Fərqli ictimai çıxış lazımdırsa, cavab buluddur və LAN sualı heç yaranmır. Hər ikisini istəmək qanunidir, amma bu iki endpoint, iki açar dəsti və iki sənədləşdirilmiş marşrut deməkdir.

Klientdən ardıcıl yoxlayın: əl sıxma, peer ünvanı, LAN hostu, sonra çıxış IP-si. curl -s https://ifconfig.me internetin gördüyünü göstərir, ip route get 192.168.1.20 isə endpoint-in nə düşündüyünü göstərir. Çıxış yoxlaması keçib NAS yoxlaması asılı qalanda, yerləşmə barədə cavabınız artıq var; klientdə AllowedIPs-i dəyişmək marşrut yaratmayacaq. 10.8.0.0/24, 192.168.1.0/24 kimi bölünmüş sətir LAN trafikini tuneldə yalnız o marşrut həqiqətən mövcud olduqda saxlayır.