Ev cihazına uzaqdan giriş VPN-i ilə çatmaq: beş qapı

Kommersiya internet-çıxışı VPN-i ünvanınızı gizlədir; sizi öz evinizə qoşmur. Ev şəbəkəsindəki NAS və ya printerə çatmaq üçün həmin şəbəkədə oturan bir şlüz və ona tunel quran bir müştəri lazımdır. Sonra paket beş yoxlamadan keçməlidir və onlardan hər hansı birinin uğursuzluğu bayırdan eyni görünür.

Qapı 1: müştəri tuneli seçməlidir

Müştəridə təyinat prefiksinin həqiqətən tunelə yönləndirildiyini yoxlayın. Yalnız VPN-in öz alt şəbəkəsini göndərən split-tunnel profili 192.168.x.x-i birbaşa yerli interfeysdən çıxarır və heç yerə getmir. Profil adına deyil, müştərinin marşrut cədvəlinə baxın.

Bu, telefon müştərilərində ən çox rast gəlinən uğursuzluqdur; onlar tez-tez yalnız DNS və ya yalnız bir prefiks göndərməyi standart edir. Marşrut yoxdursa, əl sıxma mükəmməl ola bilər, cihaz isə yenə əlçatmaz qalır.

Davam etməzdən əvvəl müştəri hovuzunun ünvanı ilə ev alt şəbəkəsinin üst-üstə düşmədiyini təsdiqləyin.

Qapı 2: şlüz yönləndirməlidir

VPN, şifrəsi açılmış paketi LAN-a yönləndirməli olan hostda bitir. Bunun üçün IP yönləndirmə aktiv olmalı və firewall siyasəti VPN interfeysindən LAN interfeysinə axına icazə verməlidir. Marşrutlaşdırıcı cihazda bu adətən daxili olur; strongSwan və ya WireGuard işlədən Linux qutusunda isə bunlar unudulan iki parametrdir. Xidməti sınamadan əvvəl hər ikisini yoxlayın, çünki hər biri təkbaşına eyni timeout-u verir.

LAN interfeysində tutma ilə sınayın, çünki orada heç vaxt görünməyən paket ya atılıb, ya da heç yönləndirilməyib.

Bu, bağlantını rədd edən xidmətdən fərqli bir uğursuzluqdur və bu fərq çox vaxt qazandırır. İcazəni dar saxlayın, bütün alt şəbəkə yerinə xidmətə və VPN hovuzuna məhdudlaşdırın.

Qapı 3: cavab yolu hər şeyi həll edir

Hədəf gördüyü mənbə ünvanına cavab verir; bu, tərcümə edib-etməməyinizdən asılı olaraq ya müştəri hovuzunun ünvanı, ya da şlüzdür. Hədəfin standart şlüzü ev marşrutlaşdırıcısıdırsa və onun VPN hovuzuna marşrutu yoxdursa, cavab internetlə çıxır və ölür. Bu, klassik birtərəfli bağlantıdır.

İki qanuni düzəliş var: LAN şlüzünə hovuz üçün marşrut əlavə etmək və ya VPN şlüzündə source-NAT tətbiq etmək ki, hədəf həmişə yalnız şlüz ünvanını görsün. İkincisi daha asandır və orijinal mənbə kimliyini itirir.

Birini qəsdən seçin və hansını seçdiyinizi yazın, çünki firewall qaydaları və loglar bundan asılıdır. strongSwan yönləndirmə təlimatı bu qərarın Linux tərəfini izah edir.

Qapı 4: adlar və prefiks üst-üstə düşməsi

Yerli kəşf adları marşrutlaşdırılmış sərhədi keçmir, ona görə evin içində dost adla görünən cihaz tunel üzərindən görünməz ola bilər. Şəxsi zona üçün DNS təmin edin və ya ünvanı sənədləşdirin. Hansı adı istifadə etsəniz də, o, uzaq müştərinin marşrutlaşdıra biləcəyi bir şeyə çevrilməlidir. Buna görə cihaz eyni vaxtda ünvanla əlçatan, adla isə görünməz ola bilər.

Üst-üstə düşən prefikslər digər tələdir: müştəri hovuzu 192.168.1.0/24-dürsə və ev şəbəkəsi də belədirsə, müştəri təyinatı yerli sayır və onu heç vaxt tuneldən göndərmir.

Bir tərəfi yenidən nömrələyin və ya evdə heç vaxt rastlaşmayacağınız bir aralıqdan hovuz istifadə edin.

Qapı 5: evin bayırından sınayın

Mətbəxdən edilən sınaq heç nə sübut etmir, çünki trafik LAN-dan heç vaxt çıxmaya bilər. Mobil hotspotdan və ya başqa şəbəkədən qoşulun, sonra qapıları sıra ilə gəzin: müştəridə marşrut, LAN interfeysində tutma, xidmətin cavabı, cavabın tutulması və ad həlli. Dəlil verməyən ilk qapı işin olduğu yerdir.

Xidmət cavab verirsə, ad vermirsə, tunel deyil, DNS probleminiz var.

İşləyən konfiqurasiyanı hovuz, marşrut və NAT seçimi ilə bir qeyddə saxlayın, çünki növbəti marşrutlaşdırıcı dəyişikliyi hər üçünü sıfırlayacaq.