הגעה להתקן ביתי דרך VPN לגישה מרחוק: חמישה שערים
מנהרה לבית שלכם זקוקה לשער ברשת הזו, להעברה ולנתיב תשובה. חמישה שערים, והראשון שאינו מראה ראיה הוא הבעיה.
VPN מסחרי ליציאה לאינטרנט מסתיר את הכתובת שלכם; הוא אינו מחבר אתכם לבית שלכם. הגעה ל-NAS או למדפסת ברשת ביתית דורשת שער שיושב ברשת הזו ולקוח שבונה אליו מנהרה. אחר כך החבילה צריכה לעבור חמישה בדיקות, ו כל כשל באחת מהן נראה מבחוץ אותו דבר.
שער 1: הלקוח חייב לבחור במנהרה
בדקו שקידומת היעד אכן מנותבת למנהרה בלקוח. פרופיל מנהרה מפוצלת שדוחף רק את תת-הרשת של ה-VPN עצמו ישלח 192.168.x.x ישירות מהממשק המקומי, שם הוא לא מגיע לשום מקום. הסתכלו בטבלת הניתוב של הלקוח, לא בשם הפרופיל.
זה הכשל הנפוץ ביותר בלקוחות טלפון, שלעיתים קרובות כברירת מחדל שולחים רק DNS או רק קידומת אחת. אם הנתיב חסר, לחיצת היד יכולה להיות מושלמת וההתקן עדיין בלתי נגיש.
ודאו שכתובת מאגר הלקוח ותת-הרשת הביתית אינן חופפות לפני שממשיכים.
שער 2: השער חייב להעביר
ה-VPN מסתיים במארח שחייב להעביר את החבילה המפוענחת אל ה-LAN. זה דורש העברת IP מופעלת ומדיניות חומת אש שמתירה את הזרימה מממשק ה-VPN לממשק ה-LAN. בנתב זה בדרך כלל מובנה; במחשב Linux עם strongSwan או WireGuard אלה שתי הגדרות שאנשים שוכחים. בדקו את שתיהן לפני בדיקת השירות, כי כל אחת לבדה מייצרת את אותה פסק זמן.
בדקו עם לכידה בממשק ה-LAN, כי חבילה שלעולם אינה מופיעה שם נזרקה או מעולם לא הועברה.
זה כשל שונה משירות שמסרב לחיבור, וההבחנה חוסכת הרבה זמן. שמרו על ההרשאה צרה, מוגבלת לשירות ולמאגר ה-VPN ולא לכל תת-הרשת.
שער 3: נתיב התשובה מחליט הכול
היעד עונה לכתובת המקור שראה, שהיא או כתובת מאגר הלקוח או השער, תלוי אם אתם מתרגמים. אם שער ברירת המחדל של היעד הוא הנתב הביתי ולנתב הזה אין נתיב למאגר ה-VPN, התשובה יוצאת דרך האינטרנט ומתה. זהו החיבור החד-כיווני הקלאסי.
קיימים שני תיקונים לגיטימיים: להוסיף נתיב למאגר בשער ה-LAN, או לעשות source-NAT בשער ה-VPN כך שהיעד יראה תמיד רק את כתובת השער. השני קל יותר ומאבד את זהות המקור המקורית.
בחרו אחד במכוון ורשמו איזה, כי כללי חומת האש והלוגים תלויים בכך. מדריך ההעברה של strongSwan עובר על הצד של Linux בהחלטה הזו.
שער 4: שמות וחפיפת קידומות
שמות גילוי מקומיים אינם חוצים גבול מנותב, ולכן התקן שמופיע בבית בשם ידידותי עשוי להיות בלתי נראה דרך המנהרה. ספקו DNS לאזור הפרטי, או תעדו את הכתובת. כל שם שתשתמשו בו חייב להיפתר למשהו שהלקוח המרוחק יכול לנתב. לכן התקן יכול להיות נגיש לפי כתובת ובלתי נראה לפי שם בו-זמנית.
קידומות חופפות הן המלכודת האחרת: אם מאגר הלקוח הוא 192.168.1.0/24 והרשת הביתית גם כן, הלקוח מתייחס ליעד כאל מקומי ולעולם אינו שולח אותו דרך המנהרה.
מספרו מחדש צד אחד, או השתמשו במאגר מטווח שלעולם לא תפגשו בבית.
שער 5: בדקו מחוץ לבית
בדיקה מהמטבח לא מוכיחה דבר, כי התעבורה אולי לעולם לא תעזוב את ה-LAN. התחברו מנקודת גישה ניידת או מרשת אחרת, ואז עברו על השערים לפי הסדר: נתיב בלקוח, לכידה בממשק ה-LAN, תגובת השירות, לכידת התשובה ופתרון שמות. השער הראשון שאינו מייצר ראיה הוא המקום שבו העבודה נמצאת.
אם השירות עונה אבל השם לא, יש לכם בעיית DNS ולא בעיית מנהרה.
שמרו את התצורה שעובדת בהערה עם המאגר, הנתיב ובחירת ה-NAT, כי החלפת הנתב הבאה תאפס את כל השלושה.