Kodin laitteeseen pääsy etäkäyttö-VPN:n kautta: viisi porttia

Kaupallinen internetlähtöinen VPN piilottaa osoitteesi; se ei yhdistä sinua omaan kotiisi. Kodin verkossa olevaan NASiin tai tulostimeen pääsy vaatii yhdyskäytävän, joka sijaitsee siinä verkossa, ja asiakkaan, joka rakentaa sinne tunnelin. Sitten paketin on läpäistävä viisi tarkistusta, ja mikä tahansa niistä epäonnistuessaan näyttää ulkopuolelta samalta.

Portti 1: asiakkaan on valittava tunneli

Tarkista, että kohdeprefiksi todella reitittyy tunnelissa asiakkaalla. Split-tunnel-profiili, joka työntää vain VPN:n oman aliverkon, lähettää 192.168.x.x suoraan paikallisesta rajapinnasta, missä se ei mene minnekään. Katso asiakkaan reititystaulukkoa, älä profiilin nimeä.

Tämä on yleisin epäonnistuminen puhelinasiakkailla, jotka usein oletuksena lähettävät vain DNS:n tai vain yhden prefiksin. Jos reitti puuttuu, kättely voi olla täydellinen ja laite silti tavoittamaton.

Vahvista ennen jatkamista, että asiakkaan poolin osoite ja kodin aliverkko eivät mene päällekkäin.

Portti 2: yhdyskäytävän on välitettävä

VPN päättyy isäntään, jonka on välitettävä salattu paketti LANiin. Se vaatii IP-edelleenlähetyksen käyttöön ja palomuurikäytännön, joka sallii virran VPN-rajapinnasta LAN-rajapintaan. Reitittimessä tämä on yleensä sisäänrakennettu; strongSwan- tai WireGuard-Linuxissa se on kaksi asetusta, jotka ihmiset unohtavat. Tarkista molemmat ennen palvelun testaamista, koska kumpikin yksin tuottaa saman aikakatkaisun.

Testaa kaappauksella LAN-rajapinnalla, koska paketti, joka ei koskaan ilmesty sinne, joko hylättiin tai jäi välittämättä.

Tämä on eri epäonnistuminen kuin palvelu, joka hylkää yhteyden, ja ero säästää paljon aikaa. Pidä lupa kapeana, rajattuna palveluun ja VPN-pooliin koko aliverkon sijaan.

Portti 3: vastausreitti ratkaisee kaiken

Kohde vastaa näkemälleen lähdeosoitteelle, joka on joko asiakkaan poolin osoite tai yhdyskäytävä, riippuen siitä käännätkö. Jos kohteen oletusyhdyskäytävä on kodin reititin eikä sillä ole reittiä VPN-pooliin, vastaus lähtee internetin kautta ja kuolee. Tämä on klassinen yksisuuntainen yhteys.

Kaksi laillista korjausta: lisää reitti poolille LAN-yhdyskäytävään tai tee source-NAT VPN-yhdyskäytävässä, jotta kohde näkee aina vain yhdyskäytävän osoitteen. Toinen on helpompi ja menettää alkuperäisen lähteen identiteetin.

Valitse yksi tarkoituksella ja kirjoita kumpi, koska palomuurisäännöt ja lokit riippuvat siitä. strongSwanin edelleenlähetysopas käy läpi kyseisen päätöksen Linux-puolen.

Portti 4: nimet ja prefiksien päällekkäisyys

Paikalliset löytönimet eivät ylitä reititettyä rajaa, joten laite, joka näkyy talon sisällä ystävällisenä nimenä, voi olla tunnelin kautta näkymätön. Tarjoa DNS yksityiselle vyöhykkeelle tai dokumentoi osoite. Mitä nimeä käytätkin, sen on ratkaistava johonkin, jonka etäasiakas voi reitittää. Siksi laite voi olla samaan aikaan osoitteella tavoitettavissa ja nimellä näkymätön.

Päällekkäiset prefiksit ovat toinen ansa: jos asiakkaan pool on 192.168.1.0/24 ja kodin verkko myös, asiakas pitää kohdetta paikallisena eikä koskaan lähetä sitä tunnelin kautta.

Numeroi toinen puoli uudelleen tai käytä poolia alueelta, johon et kotona koskaan törmää.

Portti 5: testaa talon ulkopuolelta

Keittiöstä tehty testi ei todista mitään, koska liikenne ei ehkä koskaan poistu LANista. Yhdistä mobiilihotspotista tai toisesta verkosta ja käy portit järjestyksessä läpi: reitti asiakkaalla, kaappaus LAN-rajapinnalla, palvelun vastaus, vastauksen kaappaus ja nimien ratkaisu. Ensimmäinen portti, joka ei tuota todisteita, on paikka, jossa työ on.

Jos palvelu vastaa mutta nimi ei, sinulla on DNS-ongelma eikä tunneliongelma.

Pidä toimiva kokoonpano muistiinpanossa poolin, reitin ja NAT-valinnan kanssa, koska seuraava reitittimen vaihto nollaa kaikki kolme.