Freastalaí VPN baile nó freastalaí scamall: cé a shroicheann do NAS?

Tagann an tollán aníos, taispeánann an cliant ponc glas, agus ssh 192.168.1.20 fós crochta go dtí go n-imeoidh an t-am. Tharla sé sin go díreach dom tar éis dom sampla scamall beag a fháil ar cíos agus WireGuard a chur air: croitheadh láimhe go maith, DNS go maith, agus an NAS ar mo dheasc chomh neamhrochtana is dá mbeadh sé ar an ngealach. Ní raibh aon locht ar an tollán. Bhí an endpoint suite i líonra gan aon bhealach go dtí mo theach. Cinneann suíomh an endpoint cé na líonraí atá tadhlach, mar sin roghnaigh é de réir an acmhainn a chaithfidh tú a bhaint amach ar dtús agus déan comparáid idir an óstáil ina dhiaidh sin.

Ní shroicheann tollán ach na líonraí is féidir leis an endpoint a ródú

Tugann VPN seoladh duit laistigh de fhearann ródaithe an endpoint féin. Nuair a sheolann an cliant paicéad chuig 192.168.1.20, caithfidh an t-endpoint a fháil amach cá dtéann sé. Tá tábla VM scamall eolach ar fho-líonraí VPC an tsoláthraí; níor chuala sé riamh faoi do LAN. Is dhá fhíric éagsúla iad ceangailte agus inrochtana, agus tagann an chuid is mó den mhearbhall idir baile agus scamall as an gcéad cheann a ghlacadh mar chruthúnas ar an dara ceann.

Socraíonn aon ordú é. Ar an endpoint, ip route get 192.168.1.20 ainmníonn sé comhéadan LAN nó díríonn sé ar an mbealach réamhshocraithe. Ar bhosca baile is é an freagra an taobh LAN. Ar shampla scamall fágann an paicéad i dtreo an idirlín agus faigheann sé bás. Ní athraíonn sé sin net.ipv4.ip_forward=1 a chur ar siúl agus riail MASQUERADE a chur leis, mar níl aon rud le seoladh ar aghaidh go dtí go gcríochnaíonn rud éigin ar thaobh an tí nasc isteach sa scamall.

Tá an dara leath ag an gcás baile: an bealach ar ais. Déantar NAT ar phaicéid a fhágann an LAN trí bhosca an tolláin, nó teastaíonn bealach statach ón LAN ar ais chuig fo-líonra an tolláin. Nuair nach n-oibríonn ach aon treo amháin, seiceáil sysctl net.ipv4.conf.all.rp_filter. Caitheann scagadh dian bealaigh chúil freagraí a thagann ar chomhéadan difriúil ón gceann a thuarann an bealach, agus tá an tsíomptóm go díreach cosúil le riail balla dóiteáin.

Léigh an tsíomptóm sula mbaineann tú leis an gcumraíocht

Ní bhunaítear an tollán: eochracha, seoladh endpoint nó port UDP blocáilte. Tollán suas ach óstaigh LAN marbh: suíomh agus ródú. Tollán suas ach brabhsáil marbh: seoladh ar aghaidh, NAT nó DNS. Trí shraith agus trí sheiceáil éagsúla iad sin, agus cuireann athscríobh cumraíochta a bhí ceart cheana am amú.

Tá rochtain isteach ón mbaile tuillte ag a sheiceáil féin, mar socraíonn sé an bhfuil óstáil sa bhaile indéanta ar chor ar bith. Cuir seoladh WAN a thuairiscíonn do ródaire i gcomparáid leis an seoladh a fheiceann óstach seachtrach. Má thiteann sé i 100.64.0.0/10, nó mura n-aontaíonn an dá cheann, tá tú taobh thiar de NAT carrier-grade agus ní oibreoidh aon seoladh port riamh. Is iad na fíor-roghanna sealaí, nasc scamall a ghlaonn amach ón mbaile, nó an t-endpoint a bhogadh.

Cad a cheannaíonn óstáil sa bhaile duit, agus cad a chosnaíonn sé

Is é an baile an t-aon suíomh atá laistigh den LAN de réir réamhshocraithe, agus sin an chúis iomlán le freastalaí a chur ann. Oibríonn feistí nach freagraíonn ach ar an deighleog áitiúil, ar nós printéirí agus leathanaigh riaracháin NAS a dhiúltaíonn fo-líonraí neamh-áitiúla, gan ródú breise. Oibríonn tú an meaisín, an ródaire agus an nasc féin freisin.

Tá na costais fisiciúil. Is é uaslódáil an tí an uasteorainn do gach cliant ag an am céanna, mar sin bíonn glao físe agus cúltaca in iomaíocht ar an bpíopa céanna. Leictreachas, caitheamh diosca, paistí, seoladh dinimiciúil a dteastaíonn DDNS uaidh, ródaire a chaithfidh UDP a sheoladh isteach, agus b'fhéidir NAT dúbailte — tagann siad go léir ort. Is é an rud a scipeann daoine ná téarnamh: má fhaigheann an bosca bás agus tú as baile, faigheann do aon bhealach isteach sa teach bás leis. Coinnigh dara feiste leis na heochracha céanna, nó ar a laghad plean le haghaidh rochtain fhisiciúil.

Más mian leat rochtain LAN gan an bosca sa bhaile, tóg nasc in ionad ligean ort. Éiríonn an t-endpoint scamall ina ródaire: tollán ó thaobh an tí le AllowedIPs = 192.168.1.0/24 ar an peer scamall, móide seoladh ar aghaidh agus NAT ar bhosca an scamaill. Téann treoir sheoladh ar aghaidh strongSwan trí leath ar ais na socraíochta sin, agus is ansin a theipeann ar an gcuid is mó de na hiarrachtaí seo. Caithfidh an peer baile a bheith suas anois chun go n-oibreodh aon rud, mar sin mhalartaigh tú spleáchas amháin ar cheann eile agus ba chóir duit é sin a scríobh síos.

Cad chuige a bhfuil endpoint scamall i ndáiríre

Athraíonn endpoint scamall d'imeacht poiblí. Fágann an trácht raon seoltaí an tsoláthraí, agus feiceann suíomhanna an seoladh sin in ionad do sheoladh baile. Sin an luach, agus is é sin an fáth nach dtugann VPN scamall an NAS duit: bhog tú an t-imeacht, ní an LAN.

Ritheann tú an córas aoi, an tseirbhís VPN agus a dintiúirí fós agus an soláthraí ag rith an hypervisor agus an líonra fisiciúil, agus tá tábhacht leis an scoilteadh sin nuair a théann rud éigin amú ag 2 a chlog ar maidin. Déantar scanadh leanúnach ar endpoint poiblí, mar sin coinnigh an port bainistíochta dúnta, lig ach an port VPN isteach, agus paisteáil de réir sceidil. Caithfidh grúpaí slándála agus ballaí dóiteáin an tsoláthraí an port sin a cheadú, agus caitheann roinnt scamall trácht a seoladh ar aghaidh amach mura gcoigeartóidh tú an tseiceáil foinse agus cinn scríbe ar an sampla.

Clúdaíonn sampla beag dornán cliant, ach is obair CPU é criptiú, agus iompraíonn sampla burstable a n-ídíonn a chreidmheas go míchothrom faoi ualach leanúnach. Féach ar an mbealach a úsáideann tú i ndáiríre, ní ar an mbileog sonraíochta.

Cinneadh is féidir leat a scríobh síos

Socraíonn an tasc an suíomh, ní an lipéad ar an mbosca. Má theastaíonn feiste uait ar do LAN baile, is é an freagra ceart is saoire endpoint sa bhaile; ní oibríonn bosca scamall go dtí go dtógfaidh tú an nasc ar ais. Má theastaíonn imeacht poiblí difriúil uait, is é an scamall an freagra agus ní thagann ceist an LAN chun cinn riamh. Tá sé dlisteanach an dá rud a iarraidh, ach ciallaíonn sé dhá endpoint, dhá shraith eochracha agus dhá bhealach doiciméadaithe.

Fíoraigh ón gcliant in ord: croitheadh láimhe, seoladh peer, óstach LAN, ansin IP an imeachta. curl -s https://ifconfig.me taispeánann sé cad a fheiceann an t-idirlíon, agus ip route get 192.168.1.20 taispeánann sé cad a chreideann an t-endpoint. Nuair a éiríonn leis an tseiceáil imeachta agus a chrochann seiceáil an NAS, tá do fhreagra faoin suíomh agat cheana; ní chruthóidh coigeartú AllowedIPs ar an gcliant bealach. Coinníonn líne scoilte ar nós 10.8.0.0/24, 192.168.1.0/24 trácht LAN laistigh den tollán ach amháin nuair a bhíonn an bealach sin ann i ndáiríre.