Etxeko VPN zerbitzaria edo hodeiko zerbitzaria: zeinek iristen da zure NASera?
Tunela altxatzen da, baina etxeko NASa eskuraezin geratzen da. Aukeratu muturraren kokapena ukitu behar duzun baliabidearen arabera, eta gero egiaztatu ibilbidea.
Tunela altxatzen da, bezeroak puntu berdea erakusten du eta ssh 192.168.1.20 oraindik zintzilik geratzen da denbora agortu arte. Hori bera bizi izan nuen hodeiko instantzia txiki bat alokatu eta WireGuard bertan jarri ondoren: esku-ukitzea ondo, DNS ondo, eta nire mahai gaineko NASa ilargian balego bezain eskuraezin. Tunelak ez zuen ezer gaizki. Muturra nire etxera ibilbiderik ez zuen sare batean zegoen. Muturraren kokapenak erabakitzen du zein sare diren alboko, beraz aukeratu lehenik ukitu behar duzun baliabidearen arabera eta alderatu ostatatzea bigarren.
Tunel batek muturrak bideratu ditzakeen sareetara soilik iristen da
VPN batek zure bezeroari muturraren bideratze-domeinuaren barruko helbidea ematen dio. Bezeroak 192.168.1.20ra paketea bidaltzen duenean, muturrak jakin behar du nora doan. Hodeiko VM baten taulak hornitzailearen VPC azpisareak ezagutzen ditu; zure LANari buruz ez du inoiz entzun. Konektatuta eta eskuragarri bi gertaera desberdin dira, eta etxea eta hodeia nahasteko arrazoi nagusia lehena bigarrenaren froga hartzea da.
Komando batek argitzen du. Muturrean, ip route get 192.168.1.20 edo LAN interfaze bat izendatzen du edo lehenetsitako ibilbidera seinalatzen du. Etxeko makinan erantzuna LAN aldea da. Hodeiko instantzian paketea internetera ateratzen da eta hiltzen da. net.ipv4.ip_forward=1 piztea eta MASQUERADE araua gehitzea ez du hori aldatzen, ez baitago aurrera bidaltzeko ezer etxeko aldean hodeirako esteka bat amaitu arte.
Etxeko kasuak bigarren erdia du: itzulera bidea. Tunelaren kaxatik LANetik ateratzen diren paketeek NAT jasaten dute, edo LANak tunelaren azpisarera itzultzeko ibilbide estatiko bat behar du. Norabide bakarra dabilenean, egiaztatu sysctl net.ipv4.conf.all.rp_filter. Itzulera-bidearen iragazketa zorrotzak ibilbideak aurrikusten duen interfazeaz bestelakoan iristen diren erantzunak botatzen ditu, eta sintomak suebaki-arau baten antza du zehazki.
Irakurri sintoma konfigurazioa ukitu aurretik
Tunela ez da ezartzen: gakoak, muturraren helbidea edo blokeatutako UDP ataka. Tunela goran baina LAN ostalariak hilda: kokapena eta bideratzea. Tunela goran baina nabigatzea hilda: aurrera bidaltzea, NAT edo DNS. Hiru geruza eta hiru egiaztapen desberdin dira, eta jadanik zuzena zen konfigurazio bat berridazteak gau bat alferrik galtzen du.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
Etxeko sarrera-eskuragarritasunak bere egiaztapena merezi du, etxean ostatatzea posible den ala ez erabakitzen baitu. Alderatu routerrak jakinarazten duen WAN helbidea kanpoko ostalari batek ikusten duen helbidearekin. 100.64.0.0/10 barruan badago, edo biak bat ez badatoz, carrier-grade NAT atzean zaude eta ataka-birbideratze batek ere ez du inoiz funtzionatuko. Benetako aukerak errele bat, etxetik kanpora deitzen duen hodeiko esteka bat, edo muturra lekuz aldatzea dira.
Zer ematen dizu etxeko ostatatzeak, eta zenbat kostatzen da
Etxea da lehenespenez LAN barruan dagoen kokapen bakarra, eta hori da han zerbitzari bat jartzeko arrazoi osoa. Segmentu lokalean soilik erantzuten duten gailuak, hala nola inprimagailuak eta tokikoak ez diren azpisareak baztertzen dituzten NAS administrazio orriak, bideratze gehigarririk gabe ibiltzen dira. Makina, routerra eta esteka zeuk kudeatzen dituzu gainera.
Kostuak fisikoak dira. Etxeko igoera bezero guztientzako sabaia da aldi berean, beraz bideo-dei batek eta babes-kopia batek hodi beragatik lehiatzen dute. Elektrizitatea, diskoaren higadura, adabakiak, DDNS behar duen helbide dinamikoa, UDP barrurantz birbideratu behar duen routerra eta agian NAT bikoitza — dena zure gain erortzen da. Jendeak saltatzen duena berreskurapena da: kaxa etxetik kanpo zauden bitartean hiltzen bada, zure etxerako bide bakarra berarekin hiltzen da. Eduki bigarren gailu bat gako berberekin, edo gutxienez sarbide fisikorako plan bat.
Etxean kaxarik gabe LAN sarbidea nahi baduzu, eraiki esteka bat itxurak egin beharrean. Hodeiko muturra router bihurtzen da: etxeko aldetik AllowedIPs = 192.168.1.0/24 duen tunela hodeiko peerrean, gehi aurrera bidaltzea eta NAT hodeiko kaxan. strongSwanen aurrera bidaltzeko gidak konfigurazio horren itzulera erdia azaltzen du, eta han huts egiten dute saiakera hauetako gehienek. Etxeko peerrak orain goran egon behar du ezerk funtziona dezan, beraz menpekotasun bat beste batekin trukatu duzu eta hori idatzi beharko zenuke.
Zertarako da benetan hodeiko mutur bat
Hodeiko mutur batek zure irteera publikoa aldatzen du. Trafikoa hornitzailearen helbide-barrutitik ateratzen da, eta guneek helbide hori ikusten dute zure etxekoaren ordez. Hor dago balioa, eta horregatik hodeiko VPN batek ez dizu NASa ematen: irteera mugitu duzu, ez LANA.
Gonbidatu sistema, VPN zerbitzua eta haren kredentzialak zeuk kudeatzen dituzu oraindik, hornitzaileak hiperbisorea eta sare fisikoa kudeatzen dituen bitartean, eta banaketa horrek garrantzia du gauerdiko 2etan zerbait hondatzen denean. Mutur publikoa etengabe eskaneatzen da, beraz mantendu kudeaketa-ataka itxita, baimendu VPN ataka soilik eta adabakitu egutegi baten arabera. Segurtasun-taldeek eta hornitzailearen suebakiek ataka hori baimendu behar dute, eta hodei batzuek aurrera bidalitako trafikoa botatzen dute instantzian iturri eta helmuga egiaztapena doitu ezean.
Instantzia txiki batek ukabilkada bat bezero estaltzen ditu, baina zifratzea CPU lana da, eta kredituak agortzen dituen burstable instantzia batek modu irregularrean jokatzen du karga iraunkorrean. Begiratu benetan erabiltzen duzun bidea, ez zehaztapen-orria.
Idatz dezakezun erabakia
Zereginak erabakitzen du kokapena, ez kaxaren etiketa. Zure etxeko LANean gailu bat behar baduzu, erantzun zuzen merkeena etxeko mutur bat da; hodeiko kaxa itzulera-esteka eraiki ondoren soilik ibiltzen da. Irteera publiko desberdin bat behar baduzu, erantzuna hodeia da eta LAN galdera ez da inoiz sortzen. Biak nahi izatea zilegi da, baina bi mutur, bi gako-multzo eta bi ibilbide dokumentatu esan nahi du.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
Egiaztatu bezerotik ordenan: esku-ukitzea, peer helbidea, LAN ostalari bat, gero irteerako IPa. curl -s https://ifconfig.me interneteak ikusten duena erakusten du, eta ip route get 192.168.1.20 muturrak sinesten duena erakusten du. Irteeraren egiaztapena pasatzen denean eta NASena zintzilik geratzen denean, kokapenari buruzko erantzuna baduzu jada; bezeroan AllowedIPs doitzeak ez du ibilbiderik sortuko. 10.8.0.0/24, 192.168.1.0/24 bezalako lerro zatitu batek LAN trafikoa tunelean mantentzen du ibilbide hori benetan existitzen denean soilik.