Cyrraedd dyfais yn y cartref dros VPN mynediad o bell: pum giât

Mae VPN masnachol ar gyfer mynd allan i’r rhyngrwyd yn cuddio’ch cyfeiriad; nid yw’n eich cysylltu â’ch cartref eich hun. Mae cyrraedd y NAS neu’r argraffydd ar rwydwaith cartref angen porth sy’n eistedd ar y rhwydwaith hwnnw a chleient sy’n adeiladu twnnel iddo. Yna rhaid i’r pecyn basio pum archwiliad, ac mae unrhyw un sy’n methu yn edrych yr un fath o’r tu allan.

Giât 1: rhaid i’r cleient ddewis y twnnel

Gwiriwch fod y rhagddodiad cyrchfan yn cael ei lwybro i’r twnnel ar y cleient. Bydd proffil twnnel hollt sy’n gwthio is-rwydwaith VPN ei hun yn unig yn anfon 192.168.x.x yn syth allan o’r rhyngwyneb lleol, lle nad yw’n mynd i unman. Edrychwch ar dabl llwybro’r cleient, nid ar enw’r proffil.

Dyma’r methiant mwyaf cyffredin gyda chleientiaid ffôn, sydd yn aml yn anfon DNS yn unig neu un rhagddodiad yn unig. Os yw’r llwybr ar goll, gall yr ysgwyd llaw fod yn berffaith a’r ddyfais yn dal yn gyrraedd.

Cadarnhewch nad yw cyfeiriad pwll y cleient a’r is-rwydwaith cartref yn gorgyffwrdd cyn mynd ymhellach.

Giât 2: rhaid i’r borth anfon ymlaen

Mae’r VPN yn gorffen ar westeiwr sy’n gorfod anfon y pecyn dadgryptio ymlaen i’r LAN. Mae hynny angen anfon IP ymlaen yn alluog a pholisi wal dân sy’n caniatáu’r llif o ryngwyneb y VPN i ryngwyneb y LAN. Ar offeryn llwybrydd mae hyn fel arfer yn fewnol; ar flwch Linux sy’n rhedeg strongSwan neu WireGuard dyma ddwy osodiad y mae pobl yn eu hanghofio. Gwiriwch y ddau cyn profi’r gwasanaeth, oherwydd mae’r naill neu’r llall ar ei ben ei hun yn rhoi’r un amser allan.

Profwch gyda chipio ar ryngwyneb y LAN, oherwydd pecyn nad yw byth yn ymddangos yno naill ai cafodd ei ollwng neu ni chafodd ei anfon ymlaen byth.

Mae hwn yn fethiant gwahanol i wasanaeth sy’n gwrthod y cysylltiad, ac mae’r gwahaniaeth yn arbed llawer o amser. Cadwch y caniatâd yn gul, wedi’i gwmpasu i’r gwasanaeth a phwll y VPN yn hytrach na’r is-rwydwaith i gyd.

Giât 3: y llwybr ateb sy’n penderfynu popeth

Mae’r targed yn ateb i’r cyfeiriad ffynhonnell a welodd, sef naill ai cyfeiriad pwll y cleient neu’r borth, yn dibynnu a ydych yn cyfieithu. Os mai llwybrydd y cartref yw pyrth diofyn y targed ac nad oes gan y llwybrydd hwnnw lwybr i bwll y VPN, mae’r ateb yn gadael trwy’r rhyngrwyd ac yn marw. Dyma’r cysylltiad unffordd clasurog.

Mae dau ateb dilys: ychwanegu llwybr ar gyfer y pwll ar borth y LAN, neu source-NAT ar borth y VPN fel mai dim ond cyfeiriad y porth y mae’r targed yn ei weld. Mae’r ail yn haws ac yn colli hunaniaeth wreiddiol y ffynhonnell.

Dewiswch un yn fwriadol ac ysgrifennwch pa un, oherwydd mae rheolau wal dân a logiau yn dibynnu arno. Mae canllaw anfon ymlaen strongSwan yn mynd trwy ochr Linux y penderfyniad hwnnw.

Giât 4: enwau a gorgyffwrdd rhagddodiaid

Nid yw enwau darganfod lleol yn croesi ffin a lwybrir, felly gall dyfais sy’n ymddangos fel enw cyfeillgar yn y tŷ fod yn anweledig dros y twnnel. Darparwch DNS ar gyfer y parth preifat, neu nodwch y cyfeiriad. Beth bynnag fo’r enw a ddefnyddiwch, rhaid iddo ddatrys i rywbeth y gall y cleient o bell ei lwybro. Dyna pam y gall dyfais fod yn gyrraeddadwy drwy gyfeiriad ac yn anweledig drwy enw ar yr un pryd.

Gorgyffwrdd rhagddodiaid yw’r trap arall: os yw pwll y cleient yn 192.168.1.0/24 a’r rhwydwaith cartref yr un fath, mae’r cleient yn trin y gyrchfan fel un lleol ac yn byth yn ei hanfon drwy’r twnnel.

Ailrifwch un ochr, neu defnyddiwch bwll o ystod na chyfarfyddwch byth ag ef gartref.

Giât 5: profwch o du allan i’r tŷ

Nid yw prawf o’r gegin yn profi dim, oherwydd efallai na fydd y traffig byth yn gadael y LAN. Cysylltwch o fan poeth symudol neu rwydwaith arall, yna cerdded y giatiau mewn trefn: llwybr ar y cleient, chipio ar ryngwyneb y LAN, ymateb y gwasanaeth, chipio’r ateb, a datrys enwau. Y giât gyntaf nad yw’n cynhyrchu tystiolaeth yw lle mae’r gwaith.

Os yw’r gwasanaeth yn ateb ond nid yr enw, mae gennych broblem DNS yn hytrach na phroblem twnnel.

Cadwch y ffurfweddiad sy’n gweithio mewn nodyn gyda’r pwll, y llwybr a’r dewis NAT, oherwydd bydd y disodli llwybrydd nesaf yn ailosod y tri.