In apparaat thús berikke fia in VPN foar ôfstânstsjinst: fiif poarten

In kommersjele internet-útgong-VPN ferberget jo adres; it ferbynt jo net mei jo eigen hûs. Om de NAS of de printer op in thúsnetwurk te berikken is in poarte nedich dy’t op dat netwurk sit en in klant dy’t in tunnel dêrhinne bout. It pakket moat dan fiif kontrôles passearje, en elk fan dy’t mislearret sjocht der fan bûten itselde út.

Poarte 1: de klant moat de tunnel kieze

Kontrolearje oft it bestimmingsprefiks op de klant wier yn ’e tunnel rûte wurdt. In split-tunnelprofyl dat allinnich it eigen subnet fan ’e VPN stjoert, sil 192.168.x.x streekrjocht út ’e lokale ynterface stjoere, dêr’t it nearne komt. Sjoch nei de rûtingstabel fan ’e klant, net nei de profylnamme.

Dit is de meast foarkommende mislearring by telefoanklanten, dy’t faak standert allinnich DNS of allinnich ien prefiks stjoere. As de rûte ûntbrekt, kin de hânskudder perfekt wêze en it apparaat dochs ûnberikber.

Befêstigje dat it poeladres fan ’e klant en it thússubnet inoar net oerlaapje foardat jo fierder geane.

Poarte 2: de poarte moat trochstjoere

De VPN einiget op in host dy’t it ûntsifere pakket nei it LAN trochstjoere moat. Dat freget IP-trochstjoering oan en in firewallbelied dat de stream fan ’e VPN-ynterface nei de LAN-ynterface tastean. Op in routerapparaat is dat meastentiids ynboud; op in Linux-doaze mei strongSwan of WireGuard binne it twa ynstellings dy’t minsken ferjitte. Kontrolearje beide foardat jo de tsjinst teste, want elk allinnich jout deselde time-out.

Test mei in opname op ’e LAN-ynterface, want in pakket dat dêr nea ferskynt is fuortsmitten of nea trochstjoerd.

Dat is in oare mislearring as in tsjinst dy’t de ferbining wegeret, en dat ferskil sparret in protte tiid. Hâld de tastimming smel, beheind ta de tsjinst en de VPN-poel ynstee fan it hiele subnet.

Poarte 3: it antwurdpaad beslút alles

It doel antwurdet nei it boarneadres dat it seach, dat is oft it poeladres fan ’e klant oft de poarte, ôfhinklik fan oft jo oersette. As de standertpoarte fan it doel de thúsrouter is en dy router hat gjin rûte nei de VPN-poel, ferlit it antwurd fia it ynternet en stjert. Dat is de klassike ienrjochtingsferbining.

Twa legitime oplossings besteane: in rûte foar de poel tafoegje op ’e LAN-poarte, of source-NAT op ’e VPN-poarte sadat it doel altyd allinnich it poarte-adres sjocht. De twadde is makliker en ferliest de oarspronklike boarne-identiteit.

Kies ien mei opsetsin en skriuw op hokker, want firewallregels en logboeken hingje derfan ôf. De strongSwan-trochstjoergids giet de Linux-kant fan dy beslissing troch.

Poarte 4: nammen en prefiksoerlaap

Lokale ûntdekkingsnammen passearje gjin rûtearre grinzen, dus in apparaat dat yn it hûs as in freonlike namme ferskynt, kin fia de tunnel ûnsichtber wêze. Soargje foar DNS foar de priveesône, of dokumintearje it adres. Hokker namme jo ek brûke, dy moat oplosse nei iets dat de klant op ôfstân rûte kin. Dêrom kin in apparaat tagelyk berikber wêze fia adres en ûnsichtber fia namme.

Oerlaapjende prefiksen binne de oare fal: as de poel fan ’e klant 192.168.1.0/24 is en it thúsnetwurk ek, behannelet de klant it doel as lokaal en stjoert it nea troch de tunnel.

Nûmerje ien kant opnij, of brûk in poel út in berik dat jo thús nea tsjinkomme.

Poarte 5: test fan bûten it hûs

In test út ’e keuken bewiist neat, want it ferkear ferlit it LAN miskien nea. Ferbynje fan in mobyl hotspot of in oar netwurk, en rin dan de poarten yn folchoarder troch: rûte op ’e klant, opname op ’e LAN-ynterface, antwurd fan ’e tsjinst, opname fan it antwurd en namme-oplossing. De earste poarte dy’t gjin bewiis leveret is wêr’t it wurk leit.

As de tsjinst antwurdet mar de namme net, hawwe jo in DNS-probleem en gjin tunnelprobleem.

Bewarje de wurkjende konfiguraasje yn in notysje mei de poel, de rûte en de NAT-kar, want de folgjende routerferfanging sil alle trije weromsette.