Koduse seadmeni jõudmine kaugjuurdepääsu-VPN-i kaudu: viis väravat

Kommertslik internetiväljundi VPN peidab teie aadressi; see ei ühenda teid teie enda koduga. Koduvõrgus NAS-i või printerini jõudmiseks on vaja lüüsi, mis asub selles võrgus, ja klienti, mis ehitab sinna tunneli. Seejärel peab pakett läbima viis kontrolli ja igaüks, mis ebaõnnestub, näeb väljastpoolt ühesugune välja.

Värav 1: klient peab tunneli valima

Kontrollige, kas sihtkoha prefiks tõesti suunatakse kliendis tunnelisse. Split-tunneli profiil, mis saadab ainult VPN-i enda alamvõrgu, saadab 192.168.x.x otse kohalikust liidesest välja, kus see ei jõua kuhugi. Vaadake kliendi marsruutimistabelit, mitte profiili nime.

See on kõige tavalisem tõrge telefoniklientidel, mis vaikimisi saadavad sageli ainult DNS-i või ainult ühe prefiksi. Kui marsruut puudub, võib käepigistus olla täiuslik ja seade ikkagi kättesaamatu.

Enne edasiminemist veenduge, et kliendi pooli aadress ja kodune alamvõrk ei kattu.

Värav 2: lüüs peab edasi saatma

VPN lõpeb hostis, mis peab dekrüpteeritud paketi LAN-i edasi saatma. Selleks peab IP-edasisaatmine olema lubatud ja tulemüüri poliitika lubama voogu VPN-i liidesest LAN-i liidesesse. Ruuteri seadmes on see tavaliselt sisse ehitatud; Linuxi masinas strongSwaniga või WireGuardiga on need kaks seadet, mille inimesed unustavad. Kontrollige mõlemat enne teenuse testimist, sest kumbki üksi annab sama aegumise.

Testige jäädvustusega LAN-i liidesel, sest pakett, mis sinna kunagi ei ilmu, kas visati ära või jäi saatmata.

See on erinev tõrge teenusest, mis ühenduse tagasi lükkab, ja see vahe säästab palju aega. Hoidke luba kitsana, piiratud teenuse ja VPN-i pooliga, mitte kogu alamvõrguga.

Värav 3: vastusteekond otsustab kõik

Sihtmärk vastab nähtud lähteaadressile, milleks on kas kliendi pooli aadress või lüüs, sõltuvalt sellest, kas te tõlgite. Kui sihtmärgi vaikelüüs on kodune ruuter ja sellel ruuteril pole VPN-i pooli marsruuti, lahkub vastus interneti kaudu ja sureb. See on klassikaline ühesuunaline ühendus.

On kaks seaduslikku lahendust: lisada pooli marsruut LAN-i lüüsile või teha VPN-i lüüsil source-NAT, et sihtmärk näeks alati ainult lüüsi aadressi. Teine on lihtsam ja kaotab algse lähteidentiteedi.

Valige üks teadlikult ja kirjutage üles, milline, sest tulemüüri reeglid ja logid sõltuvad sellest. strongSwan-i edasisaatmise juhend käib läbi selle otsuse Linuxi-poolse külje.

Värav 4: nimed ja prefiksite kattumine

Kohalikud avastamisnimed ei ületa marsruuditud piiri, seega kodus sõbraliku nimena ilmuv seade võib tunneli kaudu nähtamatu olla. Pakkuge privaatse tsooni jaoks DNS-i või dokumenteerige aadress. Ükskõik millist nime kasutate, see peab lahenduma millekski, mida kaugklient saab marsruutida. Seetõttu võib seade olla korraga aadressi järgi kättesaadav ja nime järgi nähtamatu.

Kattuvad prefiksid on teine lõks: kui kliendi pool on 192.168.1.0/24 ja koduvõrk samuti, käsitleb klient sihtkohta kohalikuna ega saada seda kunagi tunnelisse.

Nummerdage üks pool ümber või kasutage pooli vahemikust, mida te kodus kunagi ei kohta.

Värav 5: testige väljastpoolt kodu

Test köögist ei tõesta midagi, sest liiklus ei pruugi LAN-ist kunagi lahkuda. Ühenduge mobiilse hotspoti või teise võrgu kaudu, seejärel käige väravad järjekorras läbi: marsruut kliendis, jäädvustus LAN-i liidesel, teenuse vastus, vastuse jäädvustus ja nimede lahendamine. Esimene värav, mis tõendit ei anna, on koht, kus töö asub.

Kui teenus vastab, aga nimi mitte, on teil DNS-i probleem, mitte tunneli probleem.

Hoidke töötav konfiguratsioon märkmes koos pooli, marsruudi ja NAT-i valikuga, sest järgmine ruuteri vahetus lähtestab kõik kolm.