Gweinydd VPN cartref neu weinydd cwmwl: pa un sy'n cyrraedd eich NAS?
Mae'r twnnel yn codi, ond mae NAS y cartref yn parhau'n anghyraeddadwy. Dewiswch leoliad yr endpoint yn ôl yr adnodd y mae'n rhaid ei gyrraedd, wedyn gwiriwch y llwybr.
Mae'r twnnel yn codi, mae'r cleient yn dangos dot gwyrdd, ac ssh 192.168.1.20 yn dal i hongian nes bod yr amser yn dod i ben. Cefais yn union hyn ar ôl llogi achos cwmwl bach a rhoi WireGuard arno: ysgwyd llaw yn iawn, DNS yn iawn, a'r NAS ar fy nesg mor anghyraeddadwy ag petai ar y lleuad. Nid oedd dim o'i le ar y twnnel. Roedd yr endpoint wedi'i barcio mewn rhwydwaith heb lwybr i fy nhŷ. Lleoliad yr endpoint sy'n penderfynu pa rwydweithiau sy'n gyfagos, felly dewiswch ef yn ôl yr adnodd y mae'n rhaid mynd ato gyntaf a chymharwch letya'n ail.
Mae twnnel yn cyrraedd rhwydweithiau y gall yr endpoint eu llwybro yn unig
Mae VPN yn rhoi cyfeiriad i'ch cleient y tu mewn i barth llwybro'r endpoint ei hun. Pan fydd y cleient yn anfon pecyn i 192.168.1.20, rhaid i'r endpoint wybod i ble mae'n mynd. Mae tabl VM cwmwl yn gwybod is-rwydweithiau VPC y darparwr; ni chlywodd erioed am eich LAN. Cysylltiedig ac y cyrraedd yw dwy ffaith wahanol, ac mae'r rhan fwyaf o'r dryswch cartref a cwmwl yn dod o drin y gyntaf fel prawf o'r ail.
Mae un gorchymyn yn setlo hyn. Ar yr endpoint, ip route get 192.168.1.20 naill ai enwa ryngwyneb LAN neu bwyntia at y llwybr diofyn. Ar flwch cartref yr ateb yw'r ochr LAN. Ar achos cwmwl mae'r pecyn yn gadael tuag at y rhyngrwyd ac yn marw. Troi net.ipv4.ip_forward=1 ymlaen ac ychwanegu rheol MASQUERADE ni newid hynny, oherwydd does dim byd i'w anfon ymlaen nes bod rhywbeth ar ochr y cartref yn terfynu cyswllt i'r cwmwl.
Mae gan yr achos cartref hanner arall: y llwybr dychwelyd. Mae pecynnau sy'n gadael y LAN drwy flwch y twnnel yn cael eu NAT, neu mae angen llwybr statig ar y LAN yn ôl i is-rwydwaith y twnnel. Pan ddim ond un cyfeiriad sy'n gweithio, gwiriwch sysctl net.ipv4.conf.all.rp_filter. Mae hidlo llwybr cefn llym yn gollwng atebion sy'n cyrraedd ar ryngwyneb gwahanol i'r un y mae'r llwybr yn ei ragweld, ac mae'r symptom yn edrych yn union fel rheol tân-gaer.
Darllenwch y symptom cyn cyffwrdd y gosodiadau
Twnnel nad yw'n sefydlu: allweddi, cyfeiriad endpoint neu borth UDP sydd wedi'i rwystro. Twnnel i fyny ond lledwyr LAN yn farw: lleoliad a llwybro. Twnnel i fyny ond pori yn farw: anfon ymlaen, NAT neu DNS. Tair haen a thair gwiriad gwahanol yw'r rheini, ac mae ailysgrifennu gosodiad a oedd eisoes yn gywir yn gwastraffu noson.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
Mae cyraeddadwyedd tuag i mewn y cartref yn haeddu gwiriad ar wahân, oherwydd mae'n penderfynu a yw lletya gartref yn bosibl o gwbl. Cymharwch y cyfeiriad WAN y mae'ch llwybrydd yn ei adrodd â'r cyfeiriad y mae lledwy allanol yn ei weld. Os yw'n disgyn yn 100.64.0.0/10, neu os nad y ddau'n cytuno, chi y tu ôl i NAT carrier-grade ac ni fydd unrhyw anfon porth yn gweithio erioed. Y dewisiadau go iawn yw relái, cyswllt cwmwl sy'n deialu allan o'r cartref, neu symud yr endpoint.
Beth mae lletya gartref yn ei brynu, a beth mae'n ei gostio
Cartref yw'r unig leoliad sydd y tu mewn i'r LAN yn ddiofyn, a dyna'r rheswm cyfan dros roi gweinydd yno. Mae dyfeisiau sy'n ateb yn unig ar y segment lleol, fel argraffwyr a thudalennau gweinyddu NAS sy'n gwrthod is-rwydweithiau nad ydynt yn lleol, yn gweithio heb lwybro ychwanegol. Chi hefyd sy'n gweithredu'r peiriant, y llwybrydd a'r cyswllt.
Mae'r costau'n gorfforol. Llwytho cartref yw'r nenfwd ar gyfer pob cleient ar unwaith, felly mae galwad fideo a chopi wrth gefn yn cystadlu am yr un bibell. Trydan, traul disg, clytiau, cyfeiriad deinamig sydd angen DDNS, llwybrydd sy'n gorfod anfon UDP tuag i mewn, ac efallai NAT dwbl — i gyd yn disgyn arnoch chi. Yr un y mae pobl yn ei hepgor yw adferiad: os yw'r blwch yn marw tra ydych i ffwrdd, mae'ch unig lwybr i'r tŷ yn marw gydag ef. Cadwch ail ddyfais gyda'r un allweddi, neu o leiaf gynllun ar gyfer mynediad corfforol.
Os ydych am fynediad i LAN heb y blwch gartref, adeiladwch gyswllt yn lle esgus. Mae'r endpoint cwmwl yn troi'n llwybrydd: twnnel o ochr y cartref gyda AllowedIPs = 192.168.1.0/24 ar y peer cwmwl, ynghyd ag anfon ymlaen a NAT ar y blwch cwmwl. Mae canllaw anfon ymlaen strongSwan yn mynd drwy hanner dychwelyd y gosodiad hwnnw, a dyna lle mae'r rhan fwyaf o'r ymdrechion hyn yn methu. Nawr mae'n rhaid i'r peer cartref fod i fyny er mwyn i unrhyw beth weithio, felly gwnaethoch fasnachu un dibyniaeth am un arall a dylech nodi hynny.
Beth yw pwrpas endpoint cwmwl mewn gwirionedd
Mae endpoint cwmwl yn newid eich allanfa gyhoeddus. Mae traffig yn gadael o ystod cyfeiriadau'r darparwr, ac mae safleoedd yn gweld y cyfeiriad hwnnw yn lle un y cartref. Dyna'r gwerth, a dyna hefyd pam nad yw VPN cwmwl yn rhoi'r NAS i chi: symudoch yr allanfa, nid y LAN.
Rydych yn dal i redeg y system gwesteiwy, y gwasanaeth VPN a'i gymwysterau tra bod y darparwr yn rhedeg yr hypervisor a'r rhwydwaith corfforol, ac mae'r rhaniad yn bwysig pan fydd rhywbeth yn torri am 2 y bore. Mae endpoint cyhoeddus yn cael ei sganio'n barhaus, felly cadwch borth rheoli ar gau, caniatáu dim ond porth VPN, a chlytio ar amserlen. Rhaid i grwpiau diogelwch a thân-gaerau'r darparwr ganiatáu'r porth hwnnw, ac mae rhai cymylau yn gollwng traffig a anfonwyd ymlaen oni bai eich bod yn addasu gwiriad ffynhonnell a chyrchfan ar yr achos.
Mae achos bach yn cwmpasu llond llaw o gleientiaid, ond gwaith CPU yw amgryptio, ac mae achos burstable sy'n rhedeg allan o gredydau yn ymddwyn yn anwastad o dan lwyth parhaus. Gwyliwch y llwybr a ddefnyddiwch mewn gwirionedd yn hytrach na'r ddalen fanyleb.
Penderfyniad y gallwch ei nodi
Y dasg sy'n penderfynu lleoliad, nid y label ar y blwch. Os oes angen dyfais ar eich LAN cartref, yr ateb cywir rhataf yw endpoint gartref; mae blwch cwmwl yn gweithio dim ond ar ôl i chi adeiladu'r cyswllt yn ôl. Os oes angen allanfa gyhoeddus wahanol, cwmwl yw'r ateb ac nid yw'r cwestiwn LAN yn codi. Mae dymuno'r ddau yn ddilys, ond mae'n golygu dau endpoint, dwy set o allweddi a dwy lwybr wedi'u dogfennu.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
Dilyswch o'r cleient yn y drefn hon: ysgwyd llaw, cyfeiriad peer, lledwy LAN, wedyn IP yr allanfa. curl -s https://ifconfig.me yn dangos beth mae'r rhyngrwyd yn ei weld, a ip route get 192.168.1.20 yn dangos beth mae'r endpoint yn ei gredu. Pan fydd y gwiriad allanfa yn pasio a'r gwiriad NAS yn hongian, mae'ch ateb am leoliad eisoes gennych; ni fydd addasu AllowedIPs ar y cleient yn creu llwybr. Mae llinell hollt fel 10.8.0.0/24, 192.168.1.0/24 yn cadw traffig LAN y tu mewn i'r twnnel yn unig pan fydd y llwybr hwnnw wir yn bodoli.