Kodu-VPN server versus pilveserver: milline jõuab sinu NAS-ini?
Tunnel tõuseb, aga kodusisene NAS jääb kättesaamatuks. Vali lõpp-punkti asukoht ressursi järgi, mida pead puudutama, ja kontrolli seejärel marsruuti.
Tunnel tõuseb, klient näitab rohelist täppi ja ssh 192.168.1.20 ripub endiselt, kuni aegub. Kogesin täpselt seda, kui olin rentinud väikese pilveinstantsi ja pannud sellele WireGuardi: käepigistus korras, DNS korras ja mu laual olev NAS sama kättesaamatu, nagu oleks Kuul. Tunneliga polnud midagi valesti. Lõpp-punkt seisis võrgus, kus polnud marsruuti minu koju. Lõpp-punkti asukoht otsustab, millised võrgud on külgnevad, seega vali see ressursi järgi, mida pead esimesena puudutama, ja võrdle hostimist teisejärguliselt.
Tunnel jõuab ainult nendesse võrkudesse, mida lõpp-punkt suudab marsruutida
VPN annab kliendile aadressi lõpp-punkti enda marsruutimisdomeenis. Kui klient saadab paketi aadressile 192.168.1.20, peab lõpp-punkt teadma, kuhu see läheb. Pilve-VM-i tabel teab teenusepakkuja VPC alamvõrke; sinu LAN-ist pole see kunagi kuulnud. Ühendatud ja kättesaadav on kaks eri fakti ning enamik kodu ja pilve segadust tuleb esimese pidamisest teise tõestuseks.
Üks käsk selgitab. Lõpp-punktis ip route get 192.168.1.20 kas nimetab LAN-liidese või osutab vaikimisi marsruudile. Koduses masinas on vastus LAN-i pool. Pilveinstantsis lahkub pakett internetti ja sureb. Sisse lülitamine net.ipv4.ip_forward=1 ja MASQUERADE reegli lisamine ei muuda seda, sest pole kuhugi edasi saata, kuni midagi kodupoolel lõpetab lingi pilve.
Kodujuhtumil on teine pool: tagasitee. LAN-ist tunnelimasina kaudu lahkuvad paketid NAT-itakse või vajab LAN staatilist marsruuti tagasi tunnelialamvõrku. Kui töötab ainult üks suund, kontrolli sysctl net.ipv4.conf.all.rp_filter. Range pöördtee filtreerimine viskab kõrvale vastused, mis saabuvad teisele liidesele, kui marsruut ennustab, ja sümptom näeb välja täpselt nagu tulemüürireegel.
Loe sümptomit enne, kui konfiguratsiooni puudutad
Tunnel ei teki: võtmed, lõpp-punkti aadress või blokeeritud UDP-port. Tunnel püsti, aga LAN-hostid surnud: paigutus ja marsruutimine. Tunnel püsti, aga sirvimine surnud: edastamine, NAT või DNS. Need on kolm kihti ja kolm eri kontrolli ning juba korrektse konfiguratsiooni ümberkirjutamine raiskab õhtu.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
Kodune sissetulev kättesaadavus väärib eraldi kontrolli, sest see otsustab, kas kodus hostimine on üldse võimalik. Võrdle WAN-aadressi, mida ruuter teatab, aadressiga, mida näeb väline host. Kui see langeb vahemikku 100.64.0.0/10 või need kaks ei klapi, oled carrier-grade NAT-i taga ja ükski pordiedastus ei hakkagi tööle. Tõelised valikud on relee, pilvelink, mis helistab kodust väljapoole, või lõpp-punkti liigutamine.
Mida kodune hostimine annab ja mida see maksab
Kodu on ainus paigutus, mis on vaikimisi LAN-i sees, ja see ongi kogu põhjus server sinna panna. Seadmed, mis vastavad ainult lokaalses segmendis, nagu printerid ja NAS-i admin-lehed, mis keelduvad mitte-lokaalsetest alamvõrkudest, töötavad ilma täiendava marsruutimiseta. Ka masinat, ruuterit ja ühendust haldad ise.
Kulud on füüsikalised. Kodune üleslaadimine on ülempiir kõigile klientidele korraga, nii et videokõne ja varundus võistlevad sama toru pärast. Elekter, ketta kulumine, plaastrid, dünaamiline aadress, mis vajab DDNS, ruuter, mis peab UDP-d sissepoole edastama, ja võimalik topelt-NAT — kõik see langeb sinu peale. See, mida inimesed vahele jätavad, on taastamine: kui masin sureb, kui oled ära, sureb koos sellega sinu ainus tee koju. Hoia teist seadet samade võtmetega või vähemalt plaani füüsiliseks juurdepääsuks.
Kui tahad LAN-juurdepääsu ilma koduse masinata, ehita link, mitte ära teeskle. Pilve lõpp-punktist saab ruuter: tunnel kodupoolelt AllowedIPs = 192.168.1.0/24 pilve peeril, pluss edastamine ja NAT pilvemasinas. strongSwani edastamisjuhend käib läbi selle seadistuse tagasitee pool ja just seal ebaõnnestub enamik neist katsetest. Kodune peer peab nüüd püsti olema, et midagi töötaks, seega vahetasid ühe sõltuvuse teise vastu ja peaksid selle üles kirjutama.
Milleks pilve lõpp-punkt tegelikult on
Pilve lõpp-punkt muudab sinu avalikku väljundit. Liiklus lahkub teenusepakkuja aadressivahemikust ja saidid näevad seda aadressi sinu koduse asemel. See on väärtus ja seepärast ei anna pilve-VPN sulle NAS-i: sa liigutasid väljundit, mitte LAN-i.
Sina haldad endiselt külalissüsteemi, VPN-teenust ja selle volitusi, samal ajal kui pakkuja haldab hüpervisorit ja füüsilist võrku, ja see jaotus loeb, kui midagi läheb öösel kell 2 katki. Avalikku lõpp-punkti skannitakse pidevalt, seega hoia haldusport suletud, luba ainult VPN-porti ja paika graafiku järgi. Turvagrupid ja pakkuja tulemüürid peavad selle pordi lubama ning mõned pilved viskavad edastatud liikluse kõrvale, kui sa instantsil allika ja sihtkoha kontrolli ei kohanda.
Väike instants katab peotäie kliente, aga krüpteerimine on CPU töö ja burstable-instants, mille krediit saab otsa, käitub pideva koormuse all ebaühtlaselt. Vaata teed, mida tegelikult kasutad, mitte spetsifikatsiooni.
Otsus, mille saad üles kirjutada
Ülesanne otsustab paigutuse, mitte masina silt. Kui vajad seadet oma kodu-LAN-is, on odavaim õige vastus lõpp-punkt kodus; pilvemasin töötab alles siis, kui oled tagasilingi ehitanud. Kui vajad teistsugust avalikku väljundit, on vastus pilv ja LAN-i küsimust ei tekigi. Mõlemat tahta on legitiimne, aga see tähendab kahte lõpp-punkti, kahte võtmetekomplekti ja kahte dokumenteeritud marsruuti.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
Kontrolli kliendist järjest: käepigistus, peer-aadress, LAN-host, siis väljundi IP. curl -s https://ifconfig.me näitab, mida internet näeb, ja ip route get 192.168.1.20 näitab, mida lõpp-punkt usub. Kui väljundikontroll läbib ja NAS-i kontroll ripub, on vastus paigutuse kohta juba olemas; AllowedIPs-i muutmine kliendis ei tekita marsruuti. Jagatud rida nagu 10.8.0.0/24, 192.168.1.0/24 hoiab LAN-liikluse tunnelis ainult siis, kui see marsruut tõesti olemas on.