Sabar VPN na gida da sabar girgije: wanne ne zai isa NAS ɗinka?

Tunel ɗin yana tashi, abokin ciniki yana nuna koren aya, kuma ssh 192.168.1.20 har yanzu yana rataye har sai lokaci ya ƙare. Na fuskanci daidai wannan bayan na yi hayar ƙaramin girgijen kwamfuta na sanya WireGuard a kai: musafaha lafiya, DNS lafiya, amma NAS ɗin da ke kan teburina ba a isa ba kamar yana wata. Babu abin da ke da laifi a tunel ɗin. Endpoint ɗin yana cikin hanyar sadarwa da ba ta da hanya zuwa gidana. Wurin endpoint yana ƙayyade waɗanne hanyoyin sadarwa ne maƙwabta, don haka zaɓe shi bisa ga abin da za ka fara taɓawa sannan ka kwatanta hosting na biyu.

Tunel yana isa ne kawai hanyoyin sadarwar da endpoint zai iya turawa

VPN yana ba abokin cinikinka adireshi cikin yankin turawa na endpoint ɗin kansa. Lokacin da abokin ciniki ya aika fakiti zuwa 192.168.1.20, endpoint ɗin dole ne ya san inda zai je. Teburin VM na girgije ya san subnet ɗin VPC na mai bayarwa; bai taɓa jin labarin LAN ɗinka ba. Haɗe da isa abubuwa biyu ne daban-daban, kuma yawancin ruɗanin gida da girgije yana zuwa daga ɗaukar na farko a matsayin hujja ga na biyu.

Umarni ɗaya yana warware shi. A kan endpoint, ip route get 192.168.1.20 ko dai yana ambaton interfes ɗin LAN ko yana nuni zuwa hanyar da aka saba. A jikin gida amsar ita ce gefen LAN. A kwamfutar girgije fakiti ɗin yana fita zuwa intanet kuma ya mutu. Kunna net.ipv4.ip_forward=1 da ƙara ka'idar MASQUERADE ba ya canza hakan, domin babu abin da za a tura gaba har sai wani abu a gefen gida ya ƙare hanyar shiga girgije.

Yanayin gida yana da rabi na biyu: hanyar dawowa. Fakitin da ke barin LAN ta jikin tunel ana NAT ɗin su, ko kuma LAN na buƙatar hanyar tsaye ta komawa subnet ɗin tunel. Lokacin da hanya ɗaya kawai ke aiki, duba sysctl net.ipv4.conf.all.rp_filter. Tsananin tacewar hanyar baya yana watsar da amsoshin da suka zo a wani interfes dabam da wanda hanya ke tsammani, kuma alamar tana kama da ka'idar wuta.

Karanta alamar kafin ka taɓa saitin

Tunel ba ya kafuwa: maɓallai, adireshin endpoint ko tashar UDP da aka toshe. Tunel yana sama amma masu karɓar LAN sun mutu: wuri da turawa. Tunel yana sama amma bincike ya mutu: tura gaba, NAT ko DNS. Waɗannan matakai uku ne da dubawa uku daban, kuma sake rubuta saitin da ya riga ya yi daidai yana ɓata maraice.

Isarwa daga waje zuwa gida ya cancanci nasa dubawa, domin shi ne ke ƙayyade ko hosting a gida zai yiwu kwata-kwata. Kwatanta adireshin WAN da na'urar router ɗinka ke bayarwa da adireshin da wani mai karɓa na waje yake gani. Idan ya faɗi cikin 100.64.0.0/10, ko kuma biyun ba su daidaita ba, kana bayan NAT na carrier-grade kuma babu tura tashar da zai taɓa aiki. Zaɓuɓɓukan gaske su ne relay, haɗin girgije da ke yin waya daga gida zuwa waje, ko kuma motsa endpoint ɗin.

Abin da hosting na gida ke bayarwa, da abin da yake ci

Gida shi ne kawai wurin da ke cikin LAN bisa tsoho, kuma wannan shi ne dukan dalilin sanya sabar a can. Na'urorin da ke amsa a yanki na gida kawai, kamar firintoci da shafukan sarrafa NAS da ke ƙin subnet ɗin da ba na gida ba, suna aiki ba tare da ƙarin turawa ba. Kai ma kana sarrafa injin, router da haɗin waje da kanka.

Kuɗin da ake biya na jiki ne. Load ɗin gida shi ne iyaka ga kowane abokin ciniki a lokaci ɗaya, don haka kiran bidiyo da ajiyar bayanai suna fafatawa a kan bututu ɗaya. Wuta, lalacewar faifai, faci, adireshin da ke buƙatar DDNS mai canzawa, router ɗin da dole ya tura UDP ciki, da yiwuwar NAT biyu duk suna kan kai. Abin da mutane ke tsallakewa shi ne farfadowa: idan akwatin ya mutu yayin da kake waje, hanyarka ɗaya zuwa gida tana mutuwa tare da shi. Riƙe na'ura ta biyu da maɓallai ɗaya, ko aƙalla shiri don shiga ta jiki.

Idan kana son shiga LAN ba tare da akwatin gida ba, gina haɗi maimakon yin riya. Endpoint ɗin girgije ya zama router: tunel daga gefen gida tare da AllowedIPs = 192.168.1.0/24 a kan peer ɗin girgije, da tura gaba da NAT a kan akwatin girgije. Jagorar tura gaba ta strongSwan tana bin rabin dawowa na wannan saitin, kuma a nan ne yawancin waɗannan ƙoƙarin ke kasawa. Peer ɗin gida yanzu dole ya tashi don kome ya yi aiki, don haka ka musanya dogaro ɗaya da wani kuma ya kamata ka rubuta hakan.

Abin da endpoint ɗin girgije yake da shi da gaske

Endpoint ɗin girgije yana canza fitowar jama'a. Hanya ta tashi daga jerin adireshin mai bayarwa, kuma shafuka suna ganin wannan adireshin maimakon na gidanka. Wannan ita ce darajar, kuma shi ne dalilin da VPN na girgije ba ya ba ka NAS: ka motsa fitowar, ba LAN ba.

Kana har yanzu tafiyar da tsarin baƙo, sabis ɗin VPN da takardun shaidarta yayin da mai bayarwa ke tafiyar da hypervisor da hanyar sadarwar jiki, kuma wannan rabo yana da muhimmanci idan wani abu ya lalace da ƙarfe 2 na dare. Ana duba endpoint ɗin jama'a a kai a kai, don haka riƙe tashar sarrafawa a rufe, ba da izini ga tashar VPN kawai, kuma yi faci bisa jadawali. Ƙungiyoyin tsaro da katangar wuta na mai bayarwa dole su ba da izinin wannan tashar, kuma wasu girgije suna watsar da zirga-zirgar da aka tura gaba sai ka daidaita binciken tushe da manufa a kan kwamfutar.

Ƙaramin kwamfuta yana rufe ɗan kaɗan na abokan ciniki, amma ɓoye bayanai aikin CPU ne, kuma kwamfutar burstable da kuɗinta ya ƙare tana yin rashin daidaituwa a ƙarƙashin nauyi mai ɗorewa. Duba hanyar da kake amfani da ita da gaske, ba takardar ƙayyadaddun bayanai ba.

Shawarar da za ka iya rubutawa

Aikin ne ke ƙayyade wuri, ba alamar da ke kan akwatin ba. Idan kana buƙatar na'ura a LAN ɗin gidanka, amsar da ta fi arha kuma daidai ita ce endpoint a gida; akwatin girgije yana aiki ne bayan ka gina hanyar dawowa. Idan kana buƙatar wata fitowar jama'a daban, girgije ne amsar kuma tambayar LAN ba ta tasowa. Son duka biyun halal ne, amma yana nufin endpoint biyu, saitin maɓallai biyu da hanyoyi biyu da aka rubuta.

Tabbatar daga abokin ciniki bisa tsari: musafaha, adireshin peer, mai karɓar LAN, sannan IP ɗin fitowa. curl -s https://ifconfig.me yana nuna abin da intanet ke gani, kuma ip route get 192.168.1.20 yana nuna abin da endpoint ke gaskatawa. Lokacin da binciken fitowa ya wuce kuma binciken NAS ya rataye, kana da amsarka game da wuri; daidaita AllowedIPs a kan abokin ciniki ba zai haifar da hanya ba. Layin da aka raba kamar 10.8.0.0/24, 192.168.1.0/24 yana riƙe zirga-zirgar LAN cikin tunel ne kawai idan wannan hanyar ta wanzu da gaske.