रिमोट-एक्सेस VPN से घर के डिवाइस तक पहुँचना: पाँच द्वार

एक वाणिज्यिक इंटरनेट-एग्ज़िट VPN आपका पता छिपाता है; वह आपको आपके अपने घर से नहीं जोड़ता। घरेलू नेटवर्क पर NAS या प्रिंटर तक पहुँचने के लिए उस नेटवर्क पर बैठा गेटवे और उसकी ओर टनल बनाने वाला क्लाइंट चाहिए। फिर पैकेट को पाँच जाँचों से गुज़रना होता है, और इनमें से कोई भी विफल होने पर बाहर से एक जैसा दिखता है।

द्वार 1: क्लाइंट को टनल चुनना होगा

जाँचें कि गंतव्य प्रीफ़िक्स वास्तव में क्लाइंट पर टनल में रूट होता है। केवल VPN के अपने सबनेट को भेजने वाला स्प्लिट-टनल प्रोफ़ाइल 192.168.x.x को सीधे स्थानीय इंटरफ़ेस से बाहर भेज देगा, जहाँ वह कहीं नहीं पहुँचता। क्लाइंट की रूटिंग तालिका देखें, प्रोफ़ाइल का नाम नहीं।

फ़ोन क्लाइंट के साथ यह सबसे आम विफलता है, जो अक्सर डिफ़ॉल्ट रूप से केवल DNS या केवल एक प्रीफ़िक्स भेजते हैं। अगर रूट न हो, तो हैंडशेक सही हो सकता है और डिवाइस फिर भी अगम्य।

आगे बढ़ने से पहले पुष्टि करें कि क्लाइंट पूल का पता और घरेलू सबनेट ओवरलैप नहीं करते।

द्वार 2: गेटवे को फ़ॉरवर्ड करना होगा

VPN ऐसे होस्ट पर समाप्त होता है जिसे डिक्रिप्ट किया गया पैकेट LAN पर फ़ॉरवर्ड करना होता है। इसके लिए IP फ़ॉरवर्डिंग सक्षम होना और फ़ायरवॉल नीति VPN इंटरफ़ेस से LAN इंटरफ़ेस तक प्रवाह की अनुमति दे। राउटर उपकरण पर यह आमतौर पर अंतर्निहित होता है; strongSwan या WireGuard चलाने वाले Linux बॉक्स पर ये दो सेटिंग्स हैं जिन्हें लोग भूल जाते हैं। सेवा परखने से पहले दोनों जाँचें, क्योंकि अकेले कोई एक भी वही टाइमआउट देता है।

LAN इंटरफ़ेस पर कैप्चर के साथ परखें, क्योंकि जो पैकेट वहाँ कभी नहीं दिखता वह या तो गिरा दिया गया या कभी फ़ॉरवर्ड नहीं हुआ।

यह कनेक्शन अस्वीकार करने वाली सेवा से अलग विफलता है, और यह अंतर बहुत समय बचाता है। अनुमति संकरी रखें, पूरे सबनेट के बजाय सेवा और VPN पूल तक सीमित।

द्वार 3: जवाब का रास्ता सब तय करता है

लक्ष्य उस स्रोत पते को जवाब देता है जो उसने देखा, जो या तो क्लाइंट पूल का पता है या गेटवे, इस पर निर्भर कि आप अनुवाद करते हैं या नहीं। अगर लक्ष्य का डिफ़ॉल्ट गेटवे घरेलू राउटर है और उस राउटर का VPN पूल तक कोई रूट नहीं, तो जवाब इंटरनेट से बाहर निकलकर मर जाता है। यही क्लासिक एकतरफ़ा कनेक्शन है।

दो वैध समाधान हैं: LAN गेटवे पर पूल के लिए रूट जोड़ना, या VPN गेटवे पर source-NAT करना ताकि लक्ष्य हमेशा केवल गेटवे का पता देखे। दूसरा आसान है और मूल स्रोत पहचान खो देता है।

जानबूझकर एक चुनें और लिखें कि कौन-सा, क्योंकि फ़ायरवॉल नियम और लॉग इस पर निर्भर हैं। strongSwan फ़ॉरवर्डिंग गाइड उस निर्णय के Linux पक्ष से गुज़रती है।

द्वार 4: नाम और प्रीफ़िक्स ओवरलैप

स्थानीय खोज के नाम रूटेड सीमा पार नहीं करते, इसलिए घर के अंदर दोस्ताना नाम के रूप में दिखने वाला डिवाइस टनल पर अदृश्य हो सकता है। निजी ज़ोन के लिए DNS दें, या पता दस्तावेज़ करें। आप जो भी नाम इस्तेमाल करें, उसे ऐसी चीज़ में हल होना चाहिए जिसे दूर का क्लाइंट रूट कर सके। इसीलिए एक डिवाइस एक ही समय पते से पहुँच योग्य और नाम से अदृश्य हो सकता है।

ओवरलैपिंग प्रीफ़िक्स दूसरा जाल है: अगर क्लाइंट पूल 192.168.1.0/24 है और घरेलू नेटवर्क भी, तो क्लाइंट गंतव्य को स्थानीय मानता है और उसे कभी टनल से नहीं भेजता।

एक तरफ़ को फिर से नंबर दें, या ऐसी श्रेणी से पूल लें जो आपको घर पर कभी न मिले।

द्वार 5: घर के बाहर से परखें

रसोई से की गई जाँच कुछ साबित नहीं करती, क्योंकि ट्रैफ़िक कभी LAN छोड़ ही न सके। मोबाइल हॉटस्पॉट या किसी और नेटवर्क से जुड़ें, फिर द्वार क्रम से चलें: क्लाइंट पर रूट, LAN इंटरफ़ेस पर कैप्चर, सेवा का जवाब, जवाब का कैप्चर और नाम हल करना। जो पहला द्वार कोई सबूत नहीं देता, काम वहीं है।

अगर सेवा जवाब देती है पर नाम नहीं, तो आपको टनल नहीं, DNS की समस्या है।

काम करने वाला कॉन्फ़िगरेशन पूल, रूट और NAT चयन के साथ नोट में रखें, क्योंकि अगली राउटर अदला-बदली तीनों को रीसेट कर देगी।