Πρόσβαση σε συσκευή του σπιτιού μέσω VPN απομακρυσμένης πρόσβασης: πέντε πύλες

Ένα εμπορικό VPN εξόδου στο διαδίκτυο κρύβει τη διεύθυνσή σας· δεν σας συνδέει με το δικό σας σπίτι. Η πρόσβαση στο NAS ή στον εκτυπωτή ενός οικιακού δικτύου χρειάζεται μια πύλη που βρίσκεται σε εκείνο το δίκτυο και έναν πελάτη που χτίζει δίοδο προς αυτήν. Έπειτα το πακέτο πρέπει να περάσει πέντε ελέγχους, και οποιαδήποτε αποτυχία τους φαίνεται ίδια από έξω.

Πύλη 1: ο πελάτης πρέπει να επιλέξει τη δίοδο

Ελέγξτε ότι το πρόθεμα προορισμού δρομολογείται πραγματικά στη δίοδο στον πελάτη. Ένα προφίλ split-tunnel που σπρώχνει μόνο το δικό του υποδίκτυο του VPN θα στείλει το 192.168.x.x κατευθείαν έξω από την τοπική διεπαφή, όπου δεν πάει πουθενά. Κοιτάξτε τον πίνακα δρομολόγησης του πελάτη, όχι το όνομα του προφίλ.

Αυτή είναι η πιο συχνή αποτυχία με πελάτες τηλεφώνου, που συχνά από προεπιλογή στέλνουν μόνο DNS ή μόνο ένα πρόθεμα. Αν λείπει η διαδρομή, η χειραψία μπορεί να είναι τέλεια και η συσκευή να παραμένει απρόσιτη.

Επιβεβαιώστε ότι η διεύθυνση της δεξαμενής του πελάτη και το οικιακό υποδίκτυο δεν επικαλύπτονται πριν προχωρήσετε.

Πύλη 2: η πύλη πρέπει να προωθεί

Το VPN τερματίζει σε έναν κεντρικό υπολογιστή που πρέπει να προωθήσει το αποκρυπτογραφημένο πακέτο στο LAN. Αυτό απαιτεί ενεργοποιημένη προώθηση IP και πολιτική τείχους προστασίας που επιτρέπει τη ροή από τη διεπαφή VPN στη διεπαφή LAN. Σε μια συσκευή δρομολογητή αυτό είναι συνήθως ενσωματωμένο· σε ένα μηχάνημα Linux με strongSwan ή WireGuard είναι δύο ρυθμίσεις που ξεχνά ο κόσμος. Ελέγξτε και τις δύο πριν δοκιμάσετε την υπηρεσία, γιατί καθεμία μόνη της δίνει το ίδιο timeout.

Δοκιμάστε με σύλληψη στη διεπαφή LAN, γιατί ένα πακέτο που δεν εμφανίζεται ποτέ εκεί είτε απορρίφθηκε είτε δεν προωθήθηκε ποτέ.

Αυτή είναι διαφορετική αποτυχία από μια υπηρεσία που αρνείται τη σύνδεση, και η διάκριση εξοικονομεί πολύ χρόνο. Κρατήστε την άδεια στενή, περιορισμένη στην υπηρεσία και τη δεξαμενή VPN αντί για όλο το υποδίκτυο.

Πύλη 3: η διαδρομή απάντησης τα αποφασίζει όλα

Ο στόχος απαντά στη διεύθυνση πηγής που είδε, που είναι είτε η διεύθυνση της δεξαμενής του πελάτη είτε η πύλη, ανάλογα με το αν μεταφράζετε. Αν η προεπιλεγμένη πύλη του στόχου είναι ο οικιακός δρομολογητής και αυτός δεν έχει διαδρομή προς τη δεξαμενή VPN, η απάντηση φεύγει από το διαδίκτυο και πεθαίνει. Αυτή είναι η κλασική μονόδρομη σύνδεση.

Υπάρχουν δύο νόμιμες λύσεις: προσθέστε διαδρομή για τη δεξαμενή στην πύλη LAN, ή source-NAT στην πύλη VPN ώστε ο στόχος να βλέπει πάντα μόνο τη διεύθυνση της πύλης. Η δεύτερη είναι ευκολότερη και χάνει την αρχική ταυτότητα της πηγής.

Διαλέξτε μία συνειδητά και σημειώστε ποια, γιατί οι κανόνες τείχους προστασίας και τα αρχεία καταγραφής εξαρτώνται από αυτό. Ο οδηγός προώθησης του strongSwan περνά από την πλευρά Linux αυτής της απόφασης.

Πύλη 4: ονόματα και επικάλυψη προθεμάτων

Τα τοπικά ονόματα ανακάλυψης δεν περνούν ένα δρομολογημένο όριο, οπότε μια συσκευή που μέσα στο σπίτι εμφανίζεται με φιλικό όνομα μπορεί να είναι αόρατη μέσω της διόδου. Παρέχετε DNS για την ιδιωτική ζώνη ή τεκμηριώστε τη διεύθυνση. Όποιο όνομα κι αν χρησιμοποιήσετε, πρέπει να επιλύεται σε κάτι που ο απομακρυσμένος πελάτης μπορεί να δρομολογήσει. Γι’ αυτό μια συσκευή μπορεί να είναι προσβάσιμη με διεύθυνση και αόρατη με όνομα ταυτόχρονα.

Τα επικαλυπτόμενα προθέματα είναι η άλλη παγίδα: αν η δεξαμενή του πελάτη είναι 192.168.1.0/24 και το οικιακό δίκτυο επίσης, ο πελάτης θεωρεί τον προορισμό τοπικό και δεν τον στέλνει ποτέ μέσω της διόδου.

Επαναριθμήστε τη μία πλευρά, ή χρησιμοποιήστε δεξαμενή από εύρος που δεν θα συναντήσετε ποτέ στο σπίτι.

Πύλη 5: δοκιμάστε από έξω από το σπίτι

Μια δοκιμή από την κουζίνα δεν αποδεικνύει τίποτα, γιατί η κίνηση μπορεί να μην φύγει ποτέ από το LAN. Συνδεθείτε από hotspot κινητού ή άλλο δίκτυο και μετά περπατήστε τις πύλες με σειρά: διαδρομή στον πελάτη, σύλληψη στη διεπαφή LAN, απάντηση υπηρεσίας, σύλληψη απάντησης και επίλυση ονομάτων. Η πρώτη πύλη που δεν παράγει στοιχεία είναι εκεί όπου βρίσκεται η δουλειά.

Αν η υπηρεσία απαντά αλλά το όνομα όχι, έχετε πρόβλημα DNS και όχι πρόβλημα διόδου.

Κρατήστε τη λειτουργική διαμόρφωση σε σημείωση με τη δεξαμενή, τη διαδρομή και την επιλογή NAT, γιατί η επόμενη αντικατάσταση δρομολογητή θα επαναφέρει και τα τρία.