Доступ да хатняй прылады праз VPN аддаленага доступу: пяць брам

Камерцыйны VPN з выхадам у інтэрнэт хавае ваш адрас; ён не злучае вас з уласным домам. Каб дасягнуць NAS або прынтара ў хатняй сетцы, патрэбны шлюз, які знаходзіцца ў гэтай сетцы, і кліент, які будуе да яго тунэль. Затым пакет павінен прайсці пяць праверак, і любая няўдача выглядае звонку аднолькава.

Брама 1: кліент павінен выбраць тунэль

Праверце, ці сапраўды прэфікс прызначэння накіроўваецца ў тунэль на кліенце. Профіль split-tunnel, які перадае толькі ўласную падсетку VPN, адправіць 192.168.x.x прама з лакальнага інтэрфейсу, дзе ён нікуды не дойдзе. Глядзіце на табліцу маршрутызацыі кліента, а не на назву профілю.

Гэта самая частая няўдача з тэлефоннымі кліентамі, якія часта па змаўчанні адпраўляюць толькі DNS або толькі адзін прэфікс. Калі маршрут адсутнічае, рукапоціск можа быць ідэальным, а прылада ўсё роўна недасягальнай.

Перад тым як ісці далей, пераканайцеся, што адрас пула кліента і хатняя падсетка не перакрываюцца.

Брама 2: шлюз павінен перасылаць

VPN заканчваецца на хосце, які павінен пераслаць расшыфраваны пакет у LAN. Для гэтага патрэбна ўключаная перасылка IP і палітыка фаервола, якая дазваляе паток ад інтэрфейсу VPN да інтэрфейсу LAN. На маршрутызатары гэта звычайна ўбудавана; на Linux-скрыні з strongSwan або WireGuard гэта два параметры, якія людзі забываюць. Праверце абодва перад тэставаннем сэрвісу, бо любы з іх паасобку дае той жа таймаўт.

Тэстуйце з захопам на інтэрфейсе LAN, бо пакет, які там ніколі не з'явіцца, быў адкінуты або ніколі не перасланы.

Гэта іншая няўдача, чым сэрвіс, які адхіляе злучэнне, і гэтае адрозненне эканоміць шмат часу. Трымайце дазвол вузкім, абмежаваным сэрвісам і пулам VPN, а не ўсёй падсеткай.

Брама 3: шлях адказу вырашае ўсё

Мэта адказвае на адрас крыніцы, які яна бачыла, — гэта або адрас пула кліента, або шлюз, у залежнасці ад таго, ці вы трансліруеце. Калі шлюз па змаўчанні мэты — хатні маршрутызатар і ў яго няма маршруту да пула VPN, адказ выходзіць праз інтэрнэт і гіне. Гэта класічнае аднабаковае злучэнне.

Ёсць два законныя рашэнні: дадаць маршрут для пула на шлюзе LAN або ўключыць source-NAT на шлюзе VPN, каб мэта бачыла толькі адрас шлюза. Другое прасцей і губляе зыходную ідэнтычнасць крыніцы.

Выберыце адзін свядома і запішыце, які менавіта, бо правілы фаервола і журналы залежаць ад гэтага. Кіраўніцтва strongSwan па перасылцы разглядае бок гэтага рашэння для Linux.

Брама 4: імёны і перакрыцце прэфіксаў

Лакальныя імёны выяўлення не перасякаюць маршрутызаваную мяжу, таму прылада, якая ў доме паказваецца як зручнае імя, можа быць нябачнай праз тунэль. Забяспечце DNS для прыватнай зоны або задокументуйце адрас. Любое імя, якое вы выкарыстоўваеце, павінна вырашацца ў нешта, што аддалены кліент можа маршрутызаваць. Таму прылада можа быць дасягальнай па адрасе і адначасова нябачнай па імені.

Перакрыцце прэфіксаў — іншая пастка: калі пул кліента — 192.168.1.0/24 і хатняя сетка таксама, кліент лічыць прызначэнне лакальным і ніколі не адпраўляе яго праз тунэль.

Перанумаруйце адзін бок або выкарыстоўвайце пул з дыяпазону, які вы ніколі не сустрэнеце дома.

Брама 5: тэст звонку дома

Тэст з кухні нічога не даказвае, бо трафік можа ніколі не пакінуць LAN. Падключыцеся з мабільнай кропкі доступу або іншай сеткі, затым прайдзіце брамы па парадку: маршрут на кліенце, захоп на інтэрфейсе LAN, адказ сэрвісу, захоп адказу і вырашэнне імёнаў. Першая брама, якая не дае доказаў, — там і праца.

Калі сэрвіс адказвае, а імя не, у вас праблема DNS, а не тунэля.

Захавайце працуючую канфігурацыю ў нататцы з пулам, маршрутам і выбарам NAT, бо наступная замена маршрутызатара скідзе ўсе тры.