Достъп до домашно устройство през VPN за отдалечен достъп: пет порти

Търговски VPN за изход към интернет скрива адреса ви; той не ви свързва със собствения ви дом. Достъпът до NAS или принтера в домашна мрежа изисква шлюз в тази мрежа и клиент, който изгражда тунел до него. След това пакетът трябва да премине през пет проверки и всяка една от тях, която се провали, изглежда отвън по един и същ начин.

Порта 1: клиентът трябва да избере тунела

Проверете дали префиксът на дестинацията наистина се маршрутизира в тунела на клиента. Профил с разделен тунел, който push-ва само собствената подмрежа на VPN, ще изпрати 192.168.x.x директно през локалния интерфейс, където не отива никъде. Гледайте таблицата за маршрутизация на клиента, а не името на профила.

Това е най-честата повреда при телефонните клиенти, които често по подразбиране изпращат само DNS или само един префикс. Ако маршрутът липсва, ръкостискането може да е перфектно, а устройството все още да е недостъпно.

Преди да продължите, потвърдете, че адресът на пула на клиента и домашната подмрежа не се застъпват.

Порта 2: шлюзът трябва да препраща

VPN завършва на хост, който трябва да препрати дешифрирания пакет към LAN. Това изисква включено IP препращане и политика на защитната стена, позволяваща потока от интерфейса на VPN към интерфейса на LAN. На рутер обикновено е вградено; на Linux машина със strongSwan или WireGuard това са две настройки, които хората забравят. Проверете и двете, преди да тествате услугата, защото всяка една сама по себе си дава същия таймаут.

Тествайте със заснемане на интерфейса на LAN, защото пакет, който никога не се появи там, е бил изхвърлен или никога не е препратен.

Това е различна повреда от услуга, която отказва връзката, и разграничението спестява много време. Дръжте разрешението тясно, ограничено до услугата и пула на VPN, а не до цялата подмрежа.

Порта 3: обратният път решава всичко

Целта отговаря на адреса на източника, който е видяла, а това е или адресът от пула на клиента, или шлюзът, в зависимост от това дали правите транслация. Ако шлюзът по подразбиране на целта е домашният рутер и този рутер няма маршрут до пула на VPN, отговорът излиза през интернет и умира. Това е класическата еднопосочна връзка.

Съществуват две законни решения: добавяне на маршрут за пула на LAN шлюза или source-NAT на VPN шлюза, така че целта да вижда само адреса на шлюза. Второто е по-лесно и губи първоначалната идентичност на източника.

Изберете едно съзнателно и запишете кое, защото правилата на защитната стена и регистрите зависят от това. Ръководството на strongSwan за препращане преминава през Linux страната на това решение.

Порта 4: имена и застъпване на префикси

Локалните имена за откриване не преминават през маршрутизирана граница, така че устройство, което в дома се показва като приятелско име, може да е невидимо през тунела. Осигурете DNS за частната зона или документирайте адреса. Каквото и име да използвате, то трябва да се разрешава до нещо, което отдалеченият клиент може да маршрутизира. Затова едно устройство може да е достъпно по адрес и невидимо по име едновременно.

Застъпващите се префикси са другата капан: ако пулът на клиента е 192.168.1.0/24 и домашната мрежа също, клиентът третира дестинацията като локална и никога не я изпраща през тунела.

Преномерирайте едната страна или използвайте пул от диапазон, който никога няма да срещнете у дома.

Порта 5: тествайте отвън дома

Тест от кухнята не доказва нищо, защото трафикът може никога да не напусне LAN. Свържете се от мобилна точка за достъп или друга мрежа, след което преминете портите по ред: маршрут на клиента, заснемане на LAN интерфейса, отговор на услугата, заснемане на отговора и разрешаване на имена. Първата порта, която не дава доказателства, е мястото на работа.

Ако услугата отговаря, а името не, имате DNS проблем, а не проблем с тунела.

Пазете работещата конфигурация в бележка с пула, маршрута и избора на NAT, защото следващата смяна на рутера ще нулира и трите.