Hejma VPN-servilo kontraŭ nuba servilo: kiu atingas vian NAS?
La tunelo ekfunkcias, sed la hejma NAS restas neatingebla. Elektu la lokon de la finpunkto laŭ la rimedo, kiun vi devas atingi, kaj poste kontrolu la itineron.
La tunelo ekfunkcias, la kliento montras verdan punkton, kaj ssh 192.168.1.20 ankoraŭ pendas ĝis tempolimo. Mi spertis ĝuste tion post lui malgrandan nuban instancon kaj instali WireGuard sur ĝin: manpremo en ordo, DNS en ordo, kaj la NAS sur mia skribotablo same neatingebla kvazaŭ ĝi estus sur la luno. Nenio misfunkciis ĉe la tunelo. La finpunkto staris en reto sen itinero al mia hejmo. La loko de la finpunkto decidas, kiuj retoj estas najbaraj, do elektu ĝin laŭ la rimedo, kiun vi unue devas atingi, kaj komparu la gastigadon due.
Tunelo atingas nur retojn, kiujn la finpunkto povas enkursigi
VPN donas al via kliento adreson ene de la propra enkursiga domajno de la finpunkto. Kiam la kliento sendas paketon al 192.168.1.20, la finpunkto devas scii, kien ĝi iras. La tabelo de nuba VM konas la VPC-subretojn de la provizanto; pri via LAN ĝi neniam aŭdis. Konektita kaj atingebla estas du malsamaj faktoj, kaj plej multa konfuzo inter hejmo kaj nubo venas de tio, ke oni prenas la unuan kiel pruvon de la dua.
Unu komando solvas tion. Ĉe la finpunkto, ip route get 192.168.1.20 aŭ nomas LAN-interfacon aŭ montras al la defaŭlta itinero. Ĉe hejma maŝino la respondo estas la LAN-flanko. Ĉe nuba instanco la paketo forlasas al la interreto kaj mortas. Ŝalti net.ipv4.ip_forward=1 kaj aldoni regulon MASQUERADE ne ŝanĝas tion, ĉar mankas io por plusendi ĝis io ĉe la hejma flanko finas ligon en la nubon.
La hejma kazo havas duan duonon: la revenan vojon. Paketoj forlasantaj la LAN tra la tunela skatolo estas NAT-ataj, aŭ la LAN bezonas statikan itineron reen al la tunela subreto. Kiam funkcias nur unu direkto, kontrolu sysctl net.ipv4.conf.all.rp_filter. Strikta inversvoja filtrado forĵetas respondojn, kiuj alvenas sur alia interfaco ol la itinero antaŭvidas, kaj la simptomo aspektas ĝuste kiel fajroŝirma regulo.
Legu la simptomon antaŭ ol tuŝi la agordon
Tunelo ne establiĝas: ŝlosiloj, finpunkta adreso aŭ blokita UDP-pordo. Tunelo supre sed LAN-gastigantoj mortaj: lokigo kaj enkursigo. Tunelo supre sed retumado morta: plusendo, NAT aŭ DNS. Tiuj estas tri tavoloj kaj tri malsamaj kontroloj, kaj reverki agordon, kiu jam estis ĝusta, malŝparas vesperon.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
Envenanta atingeblo de la hejmo meritas propran kontrolon, ĉar ĝi decidas, ĉu gastigado hejme entute eblas. Komparu la WAN-adreson, kiun via enkursigilo raportas, kun la adreso, kiun vidas ekstera gastiganto. Se ĝi falas en 100.64.0.0/10, aŭ la du malkongruas, vi estas malantaŭ carrier-grade NAT kaj neniu pordplusendo iam funkcios. La veraj elektoj estas relajso, nuba ligo, kiu vokas eksteren el la hejmo, aŭ movi la finpunkton.
Kion hejma gastigado donas al vi, kaj kion ĝi kostas
Hejmo estas la sola lokigo, kiu defaŭlte estas ene de la LAN, kaj tio estas la tuta kialo meti servilon tie. Aparatoj, kiuj respondas nur sur la loka segmento, kiel printiloj kaj NAS-administraj paĝoj, kiuj rifuzas ne-lokajn subretojn, funkcias sen plia enkursigo. Vi ankaŭ mem funkciigas la maŝinon, la enkursigilon kaj la supran ligon.
La kostoj estas fizikaj. Hejma elŝuto estas la plafono por ĉiuj klientoj samtempe, do vidvoko kaj savkopio konkurras pri la sama tubo. Elektro, diskuzo, flikaĵoj, dinamika adreso, kiu bezonas DDNS, enkursigilo, kiu devas plusendi UDP internen, kaj eble duobla NAT — ĉio falas sur vin. Tio, kion homoj preterlasas, estas la restarigo: se la skatolo mortas dum vi forestas, kun ĝi mortas via sola vojo en la domon. Tenu duan aparaton kun la samaj ŝlosiloj, aŭ almenaŭ planon por fizika aliro.
Se vi volas LAN-aliro sen la skatolo hejme, konstruu ligon anstataŭ ŝajnigi. La nuba finpunkto fariĝas enkursigilo: tunelo de la hejma flanko kun AllowedIPs = 192.168.1.0/24 ĉe la nuba peer, plus plusendo kaj NAT ĉe la nuba skatolo. La plusenda gvidilo de strongSwan trairas la revenan duonon de tiu agordo, kaj tie malsukcesas la plej multaj el tiuj provoj. La hejma peer nun devas esti supre por ke io ajn funkciu, do vi interŝanĝis unu dependon kontraŭ alia kaj devus tion noti.
Por kio nuba finpunkto vere utilas
Nuba finpunkto ŝanĝas vian publikan eliron. Trafiko forlasas la adresaron de la provizanto, kaj retejoj vidas tiun adreson anstataŭ vian hejman. Tio estas la valoro, kaj tial nuba VPN ne donas al vi la NAS: vi movis la eliron, ne la LAN.
Vi ankoraŭ funkciigas la gastan sistemon, la VPN-servon kaj ĝiajn identigilojn dum la provizanto funkciigas la hipervidilon kaj la fizikan reton, kaj tiu divido gravas kiam io paneas je la 2-a matene. Publika finpunkto estas senĉese skanata, do tenu la administran pordon fermita, permesu nur la VPN-pordon kaj fliku laŭ horaro. Sekurecgrupoj kaj fajroŝirmiloj de la provizanto devas permesi tiun pordon, kaj iuj nuboj forĵetas plusenditan trafikon ĝis vi ĝustigos la kontrolon de fonto kaj celo ĉe la instanco.
Malgranda instanco kovras manplenon da klientoj, sed ĉifrado estas CPU-laboro, kaj burstable-instance, kiu elĉerpis kreditojn, kondutas malegale sub daŭra ŝarĝo. Rigardu la vojon, kiun vi efektive uzas, ne la specifikan folion.
Decido, kiun vi povas skribi
La tasko decidas la lokigon, ne la etikedo sur la skatolo. Se vi bezonas aparaton en via hejma LAN, la plej malmultekosta ĝusta respondo estas finpunkto hejme; nuba skatolo funkcias nur post kiam vi konstruis la ligon reen. Se vi bezonas alian publikan eliron, nubo estas la respondo kaj la LAN-demando neniam ekestas. Voli ambaŭ estas legitime, sed ĝi signifas du finpunktojn, du ŝlosilarojn kaj du dokumentitajn itinerojn.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
Kontrolu de la kliento laŭ ordo: manpremo, peer-adreso, LAN-gastiganto, poste la elira IP. curl -s https://ifconfig.me montras, kion vidas la interreto, kaj ip route get 192.168.1.20 montras, kion kredas la finpunkto. Kiam la elira kontrolo pasas kaj la NAS-kontrolo pendas, vi jam havas vian respondon pri lokigo; ĝustigi AllowedIPs ĉe la kliento ne kreos itineron. Dividita linio kiel 10.8.0.0/24, 192.168.1.0/24 tenas LAN-trafikon ene de la tunelo nur kiam tiu itinero vere ekzistas.