Etxeko gailu batera iristea urruneko sarbideko VPN baten bidez: bost ate

Interneteko irteera duen VPN komertzial batek zure helbidea ezkutatzen du; ez zaitu zure etxera konektatzen. Etxeko sare batean NAS edo inprimagailura iristeko, sare horretan dagoen ate bat eta bertara tunela eraikitzen duen bezero bat behar dira. Gero paketeak bost egiaztapen pasatu behar ditu, eta horietako edozein huts eginez gero, kanpotik berdin ikusten da.

1. atea: bezeroak tunela aukeratu behar du

Egiaztatu helmugako aurrizkia benetan tunelera bideratzen dela bezeroan. VPNaren azpisare propioa soilik bidaltzen duen split-tunnel profilek 192.168.x.x tokiko interfazetik zuzenean bidaliko du, eta ez da inora iritsiko. Begiratu bezeroaren bideratze-taula, ez profilaren izena.

Hau da telefono bezeroetan ohikoena den hutsegitea; askotan lehenespenez DNS soilik edo aurrizki bakarra bidaltzen dute. Bidea falta bada, esku-ematea ezin hobea izan daiteke eta gailua hala ere eskuraezina.

Aurrera egin aurretik, egiaztatu bezeroaren poolaren helbidea eta etxeko azpisarea ez direla gainjartzen.

2. atea: ateak birbidali behar du

VPNa pakete deszifratua LANera birbidali behar duen ostalarian amaitzen da. Horretarako IP birbidalketa gaituta egon behar da eta suebaki-politika batek VPN interfazetik LAN interfazera fluxua baimendu behar du. Router gailu batean normalean barneratuta dago; strongSwan edo WireGuard duen Linux kaxa batean jendeak ahazten dituen bi ezarpen dira. Egiaztatu biak zerbitzua probatu aurretik, bakoitzak bakarrik denbora-muga bera sortzen baitu.

Probatu LAN interfazean kaptura batekin, han inoiz agertzen ez den paketea bota egin zelako edo inoiz birbidali ez zelako.

Hau konexioa ukatzen duen zerbitzu baten hutsegite desberdina da, eta bereizketak denbora asko aurrezten du. Mantendu baimena estua, zerbitzura eta VPN poolera mugatuta, azpisare osora baino.

3. atea: erantzun-bideak erabakitzen du dena

Helburuak ikusi zuen iturburu-helbidera erantzuten du, hau da, bezeroaren poolaren helbidea edo atea, itzultzen duzun ala ez. Helburuaren lehenespenezko atea etxeko routerra bada eta router horrek ez badu VPN poolera biderik, erantzuna internet bidez irteten da eta hiltzen da. Hau da klasikoa den norabide bakarreko konexioa.

Bi konponbide legitimo daude: poolerako bide bat gehitzea LANeko atean, edo source-NAT egitea VPNeko atean, helburuak atearen helbidea soilik ikus dezan. Bigarrena errazagoa da eta iturburuaren jatorrizko identitatea galtzen du.

Aukeratu bat nahita eta idatzi zein, suebaki-arauak eta erregistroak horren mende daude eta. strongSwan-en birbidalketa gidak erabaki horren Linux aldean zehar egiten du.

4. atea: izenak eta aurrizkien gainjartzea

Tokiko aurkikuntza-izenek ez dute bideratutako muga zeharkatzen, beraz etxean izen atsegin gisa agertzen den gailua ikusezina izan daiteke tuneletik. Eman DNSa zona pribatuarentzat, edo dokumentatu helbidea. Erabiltzen duzun edozein izenek urruneko bezeroak bideratu dezakeen zerbaitetara ebatzi behar du. Horregatik gailu bat aldi berean izan daiteke helbidez irisgarria eta izenez ikusezina.

Aurrizki gainjarriak beste tranpa dira: bezeroaren pool-a 192.168.1.0/24 bada eta etxeko sarea ere bai, bezeroak helmuga tokikotzat hartzen du eta ez du inoiz tuneletik bidaltzen.

Zenbakitu berriro alde bat, edo erabili etxean inoiz aurkituko ez duzun barrutiko pool bat.

5. atea: probatu etxetik kanpo

Sukaldetik egindako probak ez du ezer frogatzen, trafikoak LANa inoiz utzi ez baitu. Konektatu hotspot mugikor edo beste sare batetik, eta gero ibili ateak ordenan: bidea bezeroan, kaptura LAN interfazean, zerbitzuaren erantzuna, erantzunaren kaptura eta izenen ebazpena. Frogarik sortzen ez duen lehen atea da lana dagoen tokia.

Zerbitzuak erantzuten badu baina izenak ez, DNS arazoa duzu, ez tunel arazoa.

Gorde lan egiten duen konfigurazioa ohar batean poolarekin, bidearekin eta NAT aukerarekin, hurrengo router aldaketak hirurak berrezarriko baititu.