Dostizanje kućnog uređaja preko VPN-a za daljinski pristup: pet kapija
Tunel do vaše kuće traži pristupnik na toj mreži, prosljeđivanje i povratnu putanju. Pet kapija, a prva koja ne pokaže dokaz je problem.
Komercijalni VPN za izlaz na internet skriva vašu adresu; ne povezuje vas s vlastitom kućom. Dostizanje NAS-a ili pisača na kućnoj mreži traži pristupnik koji se nalazi na toj mreži i klijenta koji prema njemu gradi tunel. Paket zatim mora proći pet provjera, i svaki njihov neuspjeh izvana izgleda isto.
Kapija 1: klijent mora odabrati tunel
Provjerite da li se prefiks odredišta doista usmjerava u tunel na klijentu. Profil podijeljenog tunela koji gura samo vlastitu podmrežu VPN-a poslat će 192.168.x.x ravno iz lokalnog sučelja, gdje ne ide nikamo. Gledajte tablicu usmjeravanja klijenta, a ne naziv profila.
To je najčešći neuspjeh kod telefonskih klijenata, koji često prema zadanim postavkama šalju samo DNS ili samo jedan prefiks. Ako ruta nedostaje, rukovanje može biti savršeno, a uređaj ipak nedostupan.
Prije nego nastavite, potvrdite da se adresa klijentskog poola i kućna podmreža ne preklapaju.
Kapija 2: pristupnik mora prosljeđivati
VPN završava na hostu koji mora proslijediti dešifrirani paket na LAN. Za to je potrebno omogućeno IP prosljeđivanje i pravilo vatrozida koje dopušta tok sa sučelja VPN na sučelje LAN. Na usmjerivaču je to obično ugrađeno; na Linux kutiji sa strongSwan ili WireGuard to su dvije postavke koje ljudi zaborave. Provjerite obje prije testiranja usluge, jer svaka sama daje isti timeout.
Testirajte snimkom na LAN sučelju, jer paket koji se tamo nikad ne pojavi bio je odbačen ili nikad proslijeđen.
To je drugačiji neuspjeh od usluge koja odbija vezu, i ta razlika štedi mnogo vremena. Držite dopuštenje uskim, ograničeno na uslugu i VPN pool, a ne na cijelu podmrežu.
Kapija 3: povratna putanja odlučuje sve
Meta odgovara na izvornu adresu koju je vidjela, a to je ili adresa klijentskog poola ili pristupnik, ovisno o tome prevodite li. Ako je zadani pristupnik mete kućni usmjerivač i taj usmjerivač nema rutu do VPN poola, odgovor izlazi preko interneta i umire. To je klasična jednosmjerna veza.
Postoje dva legitimna rješenja: dodati rutu za pool na LAN pristupniku ili uključiti source-NAT na VPN pristupniku tako da meta uvijek vidi samo adresu pristupnika. Drugo je lakše i gubi izvorni identitet izvora.
Odaberite jedno namjerno i zapišite koje, jer pravila vatrozida i zapisi ovise o tome. strongSwan vodič za prosljeđivanje prolazi kroz Linux stranu te odluke.
Kapija 4: imena i preklapanje prefiksa
Lokalna imena otkrivanja ne prelaze usmjerenu granicu, pa uređaj koji se unutar kuće pojavljuje kao prijateljsko ime može biti nevidljiv preko tunela. Osigurajte DNS za privatnu zonu ili dokumentirajte adresu. Koje god ime koristili, ono se mora razriješiti u nešto što udaljeni klijent može usmjeriti. Zato uređaj može biti dostupan po adresi i nevidljiv po imenu istovremeno.
Preklapajući prefiksi su druga zamka: ako je klijentski pool 192.168.1.0/24 i kućna mreža također, klijent odredište tretira kao lokalno i nikad ga ne šalje kroz tunel.
Prenumerirajte jednu stranu ili upotrijebite pool iz raspona koji kod kuće nikad nećete sresti.
Kapija 5: testirajte izvan kuće
Test iz kuhinje ništa ne dokazuje, jer promet možda nikad ne napusti LAN. Povežite se s mobilnog hotspota ili druge mreže, zatim prođite kapije redom: ruta na klijentu, snimka na LAN sučelju, odgovor usluge, snimka odgovora i razrješavanje imena. Prva kapija koja ne daje dokaz je mjesto gdje je posao.
Ako usluga odgovara, a ime ne, imate DNS problem, a ne problem s tunelom.
Sačuvajte radnu konfiguraciju u bilješci s poolom, rutom i izborom NAT-a, jer će sljedeća zamjena usmjerivača resetirati sva tri.