હોમ VPN સર્વર વિરુદ્ધ ક્લાઉડ સર્વર: કયું તમારા NAS સુધી પહોંચે છે?
ટનલ ઉપર આવે છે, પણ ઘરનું NAS અગમ્ય રહે છે. જે સંસાધનને પહેલાં સ્પર્શવું છે તેના આધારે એન્ડપોઇન્ટનું સ્થાન પસંદ કરો, પછી રૂટ તપાસો.
ટનલ ઉપર આવે છે, ક્લાયન્ટ લીલો બિંદુ દેખાડે છે, અને ssh 192.168.1.20 હજી પણ ટાઇમઆઉટ ન થાય ત્યાં સુધી લટકે છે. નાનું ક્લાઉડ ઇન્સ્ટન્સ ભાડે લઈને તેના પર WireGuard મૂક્યા પછી મને બરાબર આ જ મળ્યું: હેન્ડશેક ઠીક, DNS ઠીક, અને મારા ડેસ્ક પરનું NAS એટલું જ અગમ્ય જાણે ચંદ્ર પર હોય. ટનલમાં કંઈ ખામી નહોતી. એન્ડપોઇન્ટ એવા નેટવર્કમાં હતું જેનો મારા ઘર સુધી કોઈ રૂટ નહોતો. એન્ડપોઇન્ટનું સ્થાન નક્કી કરે છે કયા નેટવર્ક નજીકના છે, તેથી તેને પહેલાં સ્પર્શવાના સંસાધન પ્રમાણે પસંદ કરો અને હોસ્ટિંગની તુલના પછી કરો.
ટનલ ફક્ત એ જ નેટવર્ક સુધી પહોંચે છે જે એન્ડપોઇન્ટ રૂટ કરી શકે
VPN તમારા ક્લાયન્ટને એન્ડપોઇન્ટના પોતાના રૂટિંગ ડોમેનની અંદર સરનામું આપે છે. ક્લાયન્ટ 192.168.1.20 પર પેકેટ મોકલે ત્યારે એન્ડપોઇન્ટને ખબર હોવી જોઈએ કે તે ક્યાં જાય છે. ક્લાઉડ VMનું ટેબલ પ્રોવાઇડરના VPC સબનેટ જાણે છે; તમારા LAN વિશે તેણે કદી સાંભળ્યું નથી. કનેક્ટેડ અને પહોંચી શકાય તે બે અલગ હકીકતો છે, અને ઘર વિરુદ્ધ ક્લાઉડની મોટાભાગની ગૂંચવણ પહેલાને બીજાના પુરાવા તરીકે લેવાથી આવે છે.
એક આદેશ તેને નક્કી કરે છે. એન્ડપોઇન્ટ પર, ip route get 192.168.1.20 કાં તો LAN ઇન્ટરફેસનું નામ આપે છે કાં ડિફોલ્ટ રૂટ તરફ ઇશારો કરે છે. ઘરના બોક્સમાં જવાબ LAN બાજુ છે. ક્લાઉડ ઇન્સ્ટન્સમાં પેકેટ ઇન્ટરનેટ તરફ નીકળીને મરી જાય છે. net.ipv4.ip_forward=1 ચાલુ કરવું અને MASQUERADE નિયમ ઉમેરવો તેને બદલતું નથી, કારણ કે ઘરની બાજુથી કંઈ ક્લાઉડમાં લિંક પૂરી ન કરે ત્યાં સુધી ફોરવર્ડ કરવા જેવું કંઈ નથી.
ઘરના કિસ્સામાં બીજો અડધો ભાગ છે: પરત માર્ગ. ટનલ બોક્સ દ્વારા LAN છોડતા પેકેટ NAT થાય છે, અથવા LANને ટનલ સબનેટ તરફ પાછા સ્ટેટિક રૂટની જરૂર હોય છે. જ્યારે ફક્ત એક દિશા કામ કરે, ત્યારે તપાસો sysctl net.ipv4.conf.all.rp_filter. કડક રિવર્સ-પાથ ફિલ્ટરિંગ એવા જવાબો ફેંકી દે છે જે રૂટ જે ધારે છે તેના કરતાં અલગ ઇન્ટરફેસ પર આવે છે, અને લક્ષણ બરાબર ફાયરવોલ નિયમ જેવું લાગે છે.
કોન્ફિગને સ્પર્શ કરતાં પહેલાં લક્ષણ વાંચો
ટનલ બનતી નથી: કી, એન્ડપોઇન્ટ સરનામું અથવા બ્લોક થયેલ UDP પોર્ટ. ટનલ ઉપર પણ LAN હોસ્ટ મૃત: સ્થાન અને રૂટિંગ. ટનલ ઉપર પણ બ્રાઉઝિંગ મૃત: ફોરવર્ડિંગ, NAT અથવા DNS. એ ત્રણ સ્તર અને ત્રણ અલગ તપાસ છે, અને પહેલેથી સાચી હોય તેવી કોન્ફિગ ફરી લખવી એક સાંજ બગાડે છે.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
ઘરની અંદર આવતી પહોંચને પોતાની તપાસ જોઈએ, કારણ કે તે નક્કી કરે છે કે ઘરે હોસ્ટિંગ બિલકુલ શક્ય છે કે નહીં. તમારો રાઉટર જે WAN સરનામું જણાવે છે તેની બહારના હોસ્ટ જે સરનામું જુએ છે તેની સાથે તુલના કરો. જો તે 100.64.0.0/10 માં પડે, અથવા બંને મળતા ન હોય, તો તમે carrier-grade NAT પાછળ છો અને કોઈ પોર્ટ ફોરવર્ડિંગ કદી કામ નહીં કરે. સાચા વિકલ્પો રિલે, ઘરમાંથી બહાર ડાયલ કરતી ક્લાઉડ લિંક, અથવા એન્ડપોઇન્ટ ખસેડવું છે.
ઘરનું હોસ્ટિંગ શું આપે છે અને શું લે છે
ઘર એ જ એક સ્થાન છે જે ડિફોલ્ટ રૂપે LANની અંદર હોય છે, અને ત્યાં સર્વર મૂકવાનું આખું કારણ એ જ છે. ફક્ત સ્થાનિક સેગમેન્ટ પર જ જવાબ આપતા ઉપકરણો, જેમ કે પ્રિન્ટર અને બિન-સ્થાનિક સબનેટ નકારતા NAS એડમિન પૃષ્ઠો, વધારાના રૂટિંગ વગર કામ કરે છે. મશીન, રાઉટર અને અપલિંક તમે પોતે પણ ચલાવો છો.
ખર્ચ ભૌતિક છે. ઘરનું અપલોડ એકસાથે બધા ક્લાયન્ટ માટેની ટોચમર્યાદા છે, તેથી વિડિયો કૉલ અને બેકઅપ એક જ પાઇપ માટે હરીફાઈ કરે છે. વીજળી, ડિસ્કનો ઘસારો, પેચ, DDNS જરૂરી હોય તેવું ડાયનેમિક સરનામું, અંદર UDP ફોરવર્ડ કરવાનું રાઉટર, અને કદાચ ડબલ NAT — બધું તમારા પર આવે છે. લોકો જે ચૂકી જાય છે તે છે પુનઃપ્રાપ્તિ: તમે બહાર હોવ ત્યારે બોક્સ મરે તો ઘરમાં તમારો એકમાત્ર રસ્તો પણ તેની સાથે મરે છે. સમાન કી સાથે બીજું ઉપકરણ, અથવા ઓછામાં ઓછું ભૌતિક પ્રવેશનું આયોજન રાખો.
ઘરે બોક્સ વગર LAN પ્રવેશ જોઈએ તો ડોળ કરવાને બદલે લિંક બનાવો. ક્લાઉડ એન્ડપોઇન્ટ રાઉટર બને છે: ઘરની બાજુથી AllowedIPs = 192.168.1.0/24 સાથે ક્લાઉડ પીઅર પર ટનલ, સાથે ક્લાઉડ બોક્સ પર ફોરવર્ડિંગ અને NAT. strongSwanની ફોરવર્ડિંગ માર્ગદર્શિકા એ સેટઅપનો પરત અડધો ભાગ સમજાવે છે, અને ત્યાં જ આમાંથી મોટાભાગના પ્રયાસો નિષ્ફળ જાય છે. ઘરના પીઅરને હવે કંઈપણ કામ કરવા માટે ઉપર રહેવું પડશે, તેથી તમે એક અવલંબનને બીજા સાથે બદલ્યું છે અને તે લખી રાખવું જોઈએ.
ક્લાઉડ એન્ડપોઇન્ટ ખરેખર શેના માટે છે
ક્લાઉડ એન્ડપોઇન્ટ તમારો જાહેર નિકાસ બદલે છે. ટ્રાફિક પ્રોવાઇડરના સરનામાંની શ્રેણીમાંથી નીકળે છે, અને સાઇટ્સ તમારા ઘરના સરનામાને બદલે તે સરનામું જુએ છે. મૂલ્ય એમાં જ છે, અને એટલે જ ક્લાઉડ VPN તમને NAS આપતું નથી: તમે નિકાસ ખસેડી છે, LAN નહીં.
તમે હજી ગેસ્ટ સિસ્ટમ, VPN સેવા અને તેની ઓળખપત્રો ચલાવો છો જ્યારે પ્રોવાઇડર હાઇપરવાઇઝર અને ભૌતિક નેટવર્ક ચલાવે છે, અને રાત્રે 2 વાગ્યે કંઈ તૂટે ત્યારે આ વિભાજન મહત્વનું છે. જાહેર એન્ડપોઇન્ટ સતત સ્કેન થાય છે, તેથી મેનેજમેન્ટ પોર્ટ બંધ રાખો, ફક્ત VPN પોર્ટની પરવાનગી આપો અને સમયપત્રક પ્રમાણે પેચ કરો. સિક્યોરિટી ગ્રુપ અને પ્રોવાઇડર ફાયરવોલે તે પોર્ટની પરવાનગી આપવી જોઈએ, અને કેટલાક ક્લાઉડ ઇન્સ્ટન્સ પર સ્રોત-ગંતવ્ય તપાસ ગોઠવ્યા વગર ફોરવર્ડ કરેલ ટ્રાફિક ફેંકી દે છે.
નાનું ઇન્સ્ટન્સ મુઠ્ઠીભર ક્લાયન્ટ સંભાળે છે, પણ એન્ક્રિપ્શન CPUનું કામ છે, અને ક્રેડિટ ખતમ થયેલું burstable ઇન્સ્ટન્સ સતત ભાર હેઠળ અસમાન વર્તે છે. સ્પેક શીટને બદલે તમે ખરેખર વાપરો છો તે માર્ગ જુઓ.
એવો નિર્ણય જે લખી શકાય
કામ સ્થાન નક્કી કરે છે, બોક્સ પરનું લેબલ નહીં. તમારા ઘરના LAN પર ઉપકરણ જોઈએ તો સૌથી સસ્તો સાચો જવાબ ઘરે એન્ડપોઇન્ટ છે; પરત લિંક બનાવ્યા પછી જ ક્લાઉડ બોક્સ કામ કરે છે. અલગ જાહેર નિકાસ જોઈએ તો જવાબ ક્લાઉડ છે અને LANનો પ્રશ્ન ઊઠતો જ નથી. બંને જોઈએ તે વાજબી છે, પણ તેનો અર્થ બે એન્ડપોઇન્ટ, બે કી સેટ અને બે દસ્તાવેજીકૃત રૂટ.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
ક્લાયન્ટથી ક્રમમાં ચકાસો: હેન્ડશેક, પીઅર સરનામું, LAN હોસ્ટ, પછી નિકાસ IP. curl -s https://ifconfig.me ઇન્ટરનેટ શું જુએ છે તે દેખાડે છે, અને ip route get 192.168.1.20 એન્ડપોઇન્ટ શું માને છે તે દેખાડે છે. જ્યારે નિકાસ તપાસ પાસ થાય અને NAS તપાસ લટકે, ત્યારે સ્થાન વિશે જવાબ તમારી પાસે છે; ક્લાયન્ટ પર AllowedIPs બદલવાથી રૂટ નહીં બને. 10.8.0.0/24, 192.168.1.0/24 જેવી વિભાજિત લાઇન LAN ટ્રાફિકને ટનલમાં ફક્ત ત્યારે જ રાખે છે જ્યારે તે રૂટ ખરેખર અસ્તિત્વમાં હોય.