رسیدن به دستگاه خانه از طریق VPN دسترسی از راه دور: پنج دروازه

یک VPN تجاری برای خروج به اینترنت نشانی شما را پنهان می‌کند؛ اما شما را به خانه خودتان وصل نمی‌کند. رسیدن به NAS یا چاپگر در شبکه خانه به دروازه‌ای نیاز دارد که روی همان شبکه باشد و به کلاینتی که تونلی به سوی آن بسازد. سپس بسته باید از پنج بررسی بگذرد، و هر شکستی در یکی از آن‌ها از بیرون یکسان به نظر می‌رسد.

دروازه 1: کلاینت باید تونل را انتخاب کند

بررسی کنید که پیشوند مقصد واقعاً در کلاینت به تونل مسیر داده شود. نمایه تونل تفکیک‌شده که فقط زیرشبکه خود VPN را می‌فرستد، 192.168.x.x را مستقیم از رابط محلی بیرون می‌فرستد، جایی که به هیچ‌جا نمی‌رسد. به جدول مسیریابی کلاینت نگاه کنید، نه به نام نمایه.

این رایج‌ترین شکست در کلاینت‌های تلفن است که غالباً به‌طور پیش‌فرض فقط DNS یا فقط یک پیشوند می‌فرستند. اگر مسیر نباشد، دست‌دادن می‌تواند بی‌نقص باشد و دستگاه همچنان در دسترس نباشد.

پیش از ادامه تأیید کنید که نشانی استخر کلاینت و زیرشبکه خانه هم‌پوشانی ندارند.

دروازه 2: دروازه باید بسته را ارسال کند

VPN روی میزبانی پایان می‌یابد که باید بسته رمزگشایی‌شده را به LAN ارسال کند. این کار به فعال بودن ارسال IP و سیاست دیوار آتش نیاز دارد که جریان از رابط VPN به رابط LAN را مجاز کند. روی دستگاه روتر معمولاً درون‌ساخت است؛ روی یک جعبه لینوکس با strongSwan یا WireGuard دو تنظیمی است که مردم فراموش می‌کنند. پیش از آزمودن سرویس هر دو را بررسی کنید، چون هر یک به‌تنهایی همان مهلت را تولید می‌کند.

با گرفتن بسته روی رابط LAN آزمایش کنید، چون بسته‌ای که هرگز آن‌جا ظاهر نمی‌شود یا دور انداخته شده یا هرگز ارسال نشده است.

این شکستی متفاوت از سرویسی است که اتصال را رد می‌کند، و این تمایز زمان زیادی صرفه‌جویی می‌کند. مجوز را باریک نگه دارید، محدود به سرویس و استخر VPN نه کل زیرشبکه.

دروازه 3: مسیر پاسخ همه‌چیز را تعیین می‌کند

مقصد به نشانی مبدأیی که دیده پاسخ می‌دهد، که بسته به اینکه ترجمه می‌کنید یا نه، یا نشانی استخر کلاینت است یا دروازه. اگر دروازه پیش‌فرض مقصد روتر خانه باشد و آن روتر مسیری به استخر VPN نداشته باشد، پاسخ از اینترنت بیرون می‌رود و می‌میرد. این همان اتصال یک‌طرفه کلاسیک است.

دو راه‌حل مشروع وجود دارد: افزودن مسیر برای استخر روی دروازه LAN، یا source-NAT روی دروازه VPN تا مقصد همیشه فقط نشانی دروازه را ببیند. دومی آسان‌تر است و هویت اصلی مبدأ را از دست می‌دهد.

آگاهانه یکی را انتخاب کنید و بنویسید کدام، چون قواعد دیوار آتش و گزارش‌ها به آن وابسته‌اند. راهنمای ارسال strongSwan سمت لینوکس آن تصمیم را می‌پیماید.

دروازه 4: نام‌ها و هم‌پوشانی پیشوند

نام‌های کشف محلی از مرز مسیریابی عبور نمی‌کنند، بنابراین دستگاهی که در خانه با نامی آشنا ظاهر می‌شود ممکن است از طریق تونل نامرئی باشد. برای منطقه خصوصی DNS فراهم کنید یا نشانی را مستند کنید. هر نامی که به کار می‌برید باید به چیزی حل شود که کلاینت دور بتواند مسیریابی کند. به همین دلیل دستگاه می‌تواند هم‌زمان با نشانی در دسترس و با نام نامرئی باشد.

پیشوندهای هم‌پوشان تله دیگر است: اگر استخر کلاینت 192.168.1.0/24 باشد و شبکه خانه هم، کلاینت مقصد را محلی می‌داند و هرگز آن را از تونل نمی‌فرستد.

یک طرف را دوباره شماره‌گذاری کنید، یا از استخری در محدوده‌ای استفاده کنید که هرگز در خانه به آن برنخورید.

دروازه 5: از بیرون خانه آزمایش کنید

آزمایش از آشپزخانه چیزی را ثابت نمی‌کند، چون ترافیک ممکن است هرگز از LAN خارج نشود. از هات‌اسپات موبایل یا شبکه دیگری وصل شوید، سپس دروازه‌ها را به ترتیب بپیمایید: مسیر روی کلاینت، گرفتن بسته روی رابط LAN، پاسخ سرویس، گرفتن پاسخ و حل نام. اولین دروازه‌ای که شاهدی تولید نکند جایی است که کار در آن است.

اگر سرویس پاسخ می‌دهد اما نام نه، مشکل DNS دارید نه مشکل تونل.

پیکربندی کارکننده را در یادداشتی همراه استخر، مسیر و انتخاب NAT نگه دارید، چون جایگزینی بعدی روتر هر سه را بازنشانی می‌کند.