Kodin VPN-palvelin vai pilvipalvelin: kumpi tavoittaa NASisi?
Tunneli nousee, mutta kodin NAS jää tavoittamattomaksi. Valitse päätepisteen sijainti sen resurssin mukaan, jota sinun on päästävä käsiksi, ja tarkista sitten reitti.
Tunneli nousee, asiakas näyttää vihreää pistettä, ja ssh 192.168.1.20 roikkuu yhä, kunnes aikakatkaisu tulee. Koin juuri tämän, kun olin vuokrannut pienen pilvi-instanssin ja asentanut siihen WireGuardin: kättely kunnossa, DNS kunnossa ja työpöydälläni oleva NAS yhtä tavoittamaton kuin se olisi kuussa. Tunnelissa ei ollut mitään vikaa. Päätepiste seisoi verkossa, josta ei ole reittiä kotiini. Päätepisteen sijainti ratkaisee, mitkä verkot ovat vierekkäisiä, joten valitse se sen resurssin mukaan, johon sinun on ensin päästävä, ja vertaa hostingia vasta toiseksi.
Tunneli tavoittaa vain verkot, jotka päätepiste osaa reitittää
VPN antaa asiakkaallesi osoitteen päätepisteen omassa reititysalueessa. Kun asiakas lähettää paketin osoitteeseen 192.168.1.20, päätepisteen on tiedettävä, minne se menee. Pilvi-VM:n taulu tuntee tarjoajan VPC-aliverkot; sinun LANistasi se ei ole kuullutkaan. Yhdistetty ja tavoitettavissa ovat kaksi eri tosiasiaa, ja suurin osa kodin ja pilven sekaannuksesta syntyy siitä, että ensimmäistä pidetään todisteena toisesta.
Yksi komento ratkaisee. Päätepisteessä ip route get 192.168.1.20 joko nimeää LAN-rajapinnan tai osoittaa oletusreittiin. Kotikoneessa vastaus on LANin puoli. Pilvi-instanssissa paketti lähtee internettiin ja kuolee. net.ipv4.ip_forward=1 päälle kytkeminen ja MASQUERADE-säännön lisääminen ei muuta sitä, koska ei ole mitään mihin edelleen välittää, ennen kuin jokin kotipuolella päättää linkin pilveen.
Kotitapauksessa on toinen puoli: paluureitti. LANista tunnelilaatikon kautta lähtevät paketit NATataan, tai LAN tarvitsee staattisen reitin takaisin tunnelin aliverkkoon. Kun vain yksi suunta toimii, tarkista sysctl net.ipv4.conf.all.rp_filter. Tiukka paluureitin suodatus pudottaa vastaukset, jotka saapuvat eri rajapintaan kuin reitti ennustaa, ja oire näyttää täsmälleen palomuurisäännöltä.
Lue oire ennen kuin kosket asetuksia
Tunneli ei muodostu: avaimet, päätepisteen osoite tai estetty UDP-portti. Tunneli pystyssä mutta LAN-isännät kuolleita: sijoittelu ja reititys. Tunneli pystyssä mutta selailu kuollutta: edelleenvälitys, NAT tai DNS. Ne ovat kolme kerrosta ja kolme eri tarkistusta, ja jo oikean asetuksen uudelleenkirjoittaminen tuhlaa illan.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
Kodin saapuva tavoitettavuus ansaitsee oman tarkistuksen, koska se ratkaisee, onko kotona hosting ylipäätään mahdollista. Vertaa reitittimen ilmoittamaa WAN-osoitetta osoitteeseen, jonka ulkopuolinen isäntä näkee. Jos se osuu 100.64.0.0/10-alueelle tai kaksi eivät täsmää, olet carrier-grade NATin takana eikä mikään portinohjaus tule koskaan toimimaan. Todelliset vaihtoehdot ovat rele, pilvilinkki, joka soittaa ulospäin kotoa, tai päätepisteen siirtäminen.
Mitä kotihosting antaa ja mitä se maksaa
Koti on ainoa sijoittelu, joka on oletuksena LANin sisällä, ja se on koko syy laittaa palvelin sinne. Laitteet, jotka vastaavat vain paikallisessa segmentissä, kuten tulostimet ja NASin hallintasivut, jotka hylkäävät ei-paikalliset aliverkot, toimivat ilman lisäreititystä. Hallinnoit myös itse konetta, reititintä ja yhteyslinjaa.
Kustannukset ovat fyysisiä. Kotiyläkaista on katto kaikille asiakkaille yhtä aikaa, joten videopuhelu ja varmuuskopio kilpailevat samasta putkesta. Sähkö, levyn kuluminen, paikkaukset, dynaaminen osoite, joka tarvitsee DDNS osoitteen, reititin, jonka on välitettävä UDP sisäänpäin, ja mahdollinen kaksinkertainen NAT kaatuvat kaikki sinun niskaasi. Se, minkä ihmiset ohittavat, on palautuminen: jos laatikko kuolee poissa ollessasi, ainoa tiesi kotiin kuolee sen mukana. Pidä toista laitetta samoilla avaimilla tai ainakin suunnitelma fyysistä pääsyä varten.
Jos haluat LAN-pääsyn ilman kotilaatikkoa, rakenna linkki sen sijaan että teeskentelisit. Pilven päätepisteestä tulee reititin: tunneli kotipuolelta AllowedIPs = 192.168.1.0/24 kanssa pilven peerissä, sekä edelleenvälitys ja NAT pilvilaatikossa. strongSwanin edelleenvälitysohje käy läpi kyseisen asennuksen paluupuolen, ja juuri siinä useimmat näistä yrityksistä epäonnistuvat. Kotipeerin on nyt oltava pystyssä, jotta mikään toimisi, joten vaihdoit yhden riippuvuuden toiseen ja sinun pitäisi kirjoittaa se muistiin.
Mihin pilven päätepiste oikeastaan on
Pilven päätepiste vaihtaa julkinen lähtösi. Liikenne lähtee tarjoajan osoitealueelta, ja sivustot näkevät sen osoitteen kodin osoitteesi sijaan. Siinä on arvo, ja siksi pilvi-VPN ei anna sinulle NASia: siirsit lähdön, et LANia.
Hallinnoit edelleen vierasjärjestelmää, VPN-palvelua ja sen tunnuksia, kun taas tarjoaja hallinnoi hypervisorin ja fyysisen verkon, ja tällä jaolla on merkitystä, kun jotain hajoaa kello 2 yöllä. Julkinen päätepiste skannataan jatkuvasti, joten pidä hallintaportti suljettuna, salli vain VPN-portti ja paikkaa aikataulun mukaan. Turvaryhmien ja tarjoajan palomuurien on sallittava tämä portti, ja jotkut pilvet pudottavat edelleen välitetyn liikenteen, ellet säädä lähde- ja kohdetarkistusta instanssissa.
Pieni instanssi kattaa kourallisen asiakkaita, mutta salaus on CPU-työtä, ja burstable-instanssi, jolta krediitit loppuvat, käyttäytyy epätasaisesti jatkuvassa kuormassa. Katso reittiä, jota todella käytät, älä tietolomaketta.
Päätös, jonka voit kirjoittaa
Tehtävä ratkaisee sijoittelun, ei laatikon tarra. Jos tarvitset laitteen kodin LANiin, halvin oikea vastaus on päätepiste kotona; pilvilaatikko toimii vasta kun olet rakentanut paluulinkin. Jos tarvitset toisen julkisen lähdön, vastaus on pilvi eikä LAN-kysymystä synny. Molempien haluaminen on legitimiä, mutta se tarkoittaa kahta päätepistettä, kahta avainsarjaa ja kahta dokumentoitua reittiä.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
Tarkista asiakkaasta järjestyksessä: kättely, peer-osoite, LAN-isäntä ja sitten lähdön IP. curl -s https://ifconfig.me näyttää, mitä internet näkee, ja ip route get 192.168.1.20 näyttää, mitä päätepiste uskoo. Kun lähtötarkistus menee läpi ja NAS-tarkistus roikkuu, sinulla on jo vastaus sijoittelusta; AllowedIPs-asetuksen muuttaminen asiakkaassa ei loi reittiä. Jaettu rivi kuten 10.8.0.0/24, 192.168.1.0/24 pitää LAN-liikenteen tunnelissa vain kun se reitti todella on olemassa.