Dosáhnout na domácí zařízení přes VPN pro vzdálený přístup: pět bran
Tunel do vašeho domu potřebuje bránu v této síti, předávání a cestu zpět. Pět bran a první, která neukáže důkaz, je problém.
Komerční VPN s internetovým výstupem skrývá vaši adresu; nepřipojí vás k vašemu vlastnímu domu. K dosažení NAS nebo tiskárny v domácí síti potřebujete bránu, která v této síti sedí, a klienta, který k ní postaví tunel. Pak musí paket projít pěti kontrolami a jakékoli selhání jedné z nich vypadá zvenčí stejně.
Brána 1: klient musí zvolit tunel
Zkontrolujte, zda se cílový prefix na klientovi skutečně směruje do tunelu. Profil děleného tunelu, který posílá jen vlastní podsíť VPN, pošle 192.168.x.x přímo z lokálního rozhraní, kde nikam nedojde. Dívejte se na směrovací tabulku klienta, ne na název profilu.
To je nejčastější selhání u telefonních klientů, kteří často ve výchozím nastavení posílají jen DNS nebo jen jeden prefix. Chybí-li trasa, může být handshake dokonalý a zařízení přesto nedostupné.
Než budete pokračovat, ověřte, že se adresa poolu klienta a domácí podsíť nepřekrývají.
Brána 2: brána musí předávat
VPN končí na hostiteli, který musí dešifrovaný paket předat do LAN. To vyžaduje zapnuté předávání IP a pravidlo firewallu, které povoluje tok z rozhraní VPN do rozhraní LAN. Na routeru to bývá zabudované; na Linuxu se strongSwan nebo WireGuard jsou to dvě nastavení, na která lidé zapomínají. Zkontrolujte obě, než službu otestujete, protože každé samo o sobě dává stejný timeout.
Testujte zachycením na rozhraní LAN, protože paket, který se tam nikdy neobjeví, byl zahozen nebo nikdy předán.
To je jiné selhání než služba, která spojení odmítá, a tento rozdíl šetří hodně času. Povolení držte úzké, omezené na službu a pool VPN, ne na celou podsíť.
Brána 3: cesta zpět rozhoduje o všem
Cíl odpovídá na zdrojovou adresu, kterou viděl, což je buď adresa poolu klienta, nebo brána, podle toho, zda překládáte. Pokud je výchozí bránou cíle domácí router a ten nemá trasu do poolu VPN, odpověď odejde přes internet a zemře. To je klasické jednosměrné spojení.
Existují dvě legitimní řešení: přidat trasu pro pool na bráně LAN, nebo zapnout source-NAT na bráně VPN, aby cíl viděl vždy jen adresu brány. Druhé je snazší a ztrácí původní identitu zdroje.
Vyberte jedno vědomě a zapište které, protože na tom závisí pravidla firewallu a logy. Průvodce předáváním strongSwan prochází linuxovou stránkou tohoto rozhodnutí.
Brána 4: názvy a překryv prefixů
Lokální názvy pro objevování nepřekračují směrovanou hranici, takže zařízení, které se uvnitř domu jeví jako přátelský název, může být přes tunel neviditelné. Zajistěte DNS pro privátní zónu nebo adresu zdokumentujte. Ať použijete jakýkoli název, musí se přeložit na něco, co vzdálený klient umí směrovat. Proto může být zařízení dostupné podle adresy a zároveň neviditelné podle názvu.
Překrývající se prefixy jsou druhá past: pokud je pool klienta 192.168.1.0/24 a domácí síť také, klient považuje cíl za lokální a nikdy ho tunelem nepošle.
Přečíslujte jednu stranu, nebo použijte pool z rozsahu, se kterým se doma nikdy nesetkáte.
Brána 5: testujte zvenčí domu
Test z kuchyně nic nedokazuje, protože provoz nemusí nikdy opustit LAN. Připojte se z mobilního hotspotu nebo jiné sítě a projděte brány v pořadí: trasa na klientovi, zachycení na rozhraní LAN, odpověď služby, zachycení odpovědi a překlad názvů. První brána, která neposkytne důkaz, je místem práce.
Pokud služba odpovídá, ale název ne, máte problém s DNS, ne s tunelem.
Uchovejte funkční konfiguraci v poznámce s poolem, trasou a volbou NAT, protože příští výměna routeru resetuje všechny tři.