Տնային VPN սերվեր ընդդեմ ամպային սերվերի. ո՞րն է հասնում ձեր NAS-ին
Թունելը բարձրանում է, բայց տան NAS-ը մնում է անհասանելի։ Ընտրեք endpoint-ի տեղը այն ռեսուրսով, որին պետք է հասնեք, ապա ստուգեք երթուղին։
Թունելը բարձրանում է, հաճախորդը ցույց է տալիս կանաչ կետ, և ssh 192.168.1.20 դեռ կախված է մինչև ժամանակի սպառումը։ Հենց դա եմ ապրել փոքր ամպային ինստանս վարձելու և դրա վրա WireGuard տեղադրելուց հետո՝ ձեռքսեղմումը լավ է, DNS-ը լավ է, իսկ սեղանիս NAS-ը նույնքան անհասանելի, կարծես լուսնի վրա լինի։ Թունելի հետ ոչ մի բան սխալ չէր։ Endpoint-ը կանգնած էր ցանցում, որտեղից իմ տուն երթուղի չկա։ Endpoint-ի տեղը որոշում է, թե որ ցանցերն են հարևան, ուստի ընտրեք այն առաջին հերթին հասնելու ռեսուրսով, իսկ հոսթինգը համեմատեք երկրորդը։
Թունելը հասնում է միայն այն ցանցերին, որոնք endpoint-ը կարող է երթուղավորել
VPN-ը ձեր հաճախորդին տալիս է հասցե endpoint-ի սեփական երթուղային տիրույթում։ Երբ հաճախորդը փաթեթ է ուղարկում 192.168.1.20-ին, endpoint-ը պետք է իմանա, թե ուր է այն գնում։ Ամպային VM-ի աղյուսակը գիտի մատակարարի VPC ենթացանցերը, սակայն ձեր LAN-ի մասին այն երբեք չի լսել։ Միացված և հասանելի երկու տարբեր փաստեր են, և տան ու ամպի շփոթության մեծ մասը գալիս է առաջինը երկրորդի ապացույց համարելուց։
Մեկ հրաման լուծում է։ Endpoint-ում ip route get 192.168.1.20 կամ նշում է LAN միջերեսը, կամ մատնանշում է լռելյայն երթուղին։ Տնային մեքենայում պատասխանը LAN կողմն է։ Ամպային ինստանսում փաթեթը դուրս է գալիս դեպի ինտերնետ և մահանում։ net.ipv4.ip_forward=1 միացնելը և MASQUERADE կանոն ավելացնելը դա չի փոխում, որովհետև փոխանցելու տեղ չկա, քանի դեռ տան կողմում ինչ-որ բան չի ավարտում կապը դեպի ամպ։
Տնային դեպքն ունի երկրորդ կեսը՝ վերադարձի ուղին։ LAN-ից թունելի տուփով դուրս եկող փաթեթները ենթարկվում են NAT-ի, կամ LAN-ին պետք է ստատիկ երթուղի դեպի թունելի ենթացանց։ Երբ աշխատում է միայն մեկ ուղղություն, ստուգեք sysctl net.ipv4.conf.all.rp_filter։ Խիստ հակադարձ ուղու զտումը գցում է այն պատասխանները, որոնք գալիս են երթուղու կանխատեսածից տարբեր միջերեսով, և ախտանիշը ճիշտ նման է հրադադարի կանոնի։
Կարդացեք ախտանիշը նախքան կոնֆիգուրացիային դիպչելը
Թունելը չի ստեղծվում՝ բանալիներ, endpoint-ի հասցե կամ արգելափակված UDP պորտ։ Թունելը վերևում է, բայց LAN հոսթերը մեռած են՝ տեղադրություն և երթուղավորում։ Թունելը վերևում է, բայց զննարկումը մեռած է՝ փոխանցում, NAT կամ DNS։ Դրանք երեք շերտ և երեք տարբեր ստուգում են, և արդեն ճիշտ կոնֆիգուրացիան վերագրելը երեկոն վատնում է։
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
Տնից եկող ներգնա հասանելիությունը արժանի է առանձին ստուգման, որովհետև այն որոշում է՝ տանը հոսթինգն ընդհանրապես հնարավո՞ր է։ Համեմատեք ձեր երթուղիչի հաղորդած WAN հասցեն արտաքին հոսթի տեսած հասցեի հետ։ Եթե այն ընկնում է 100.64.0.0/10-ի մեջ, կամ երկուսը չեն համընկնում, դուք carrier-grade NAT-ի հետևում եք, և ոչ մի պորտի փոխանցում երբեք չի աշխատի։ Իրական տարբերակներն են ռելեն, ամպային կապը, որը զանգահարում է տնից դուրս, կամ endpoint-ը տեղափոխելը։
Ինչ է տալիս տնային հոսթինգը և ինչ արժե
Տունը միակ տեղն է, որը լռելյայն գտնվում է LAN-ի ներսում, և դա է սերվեր այնտեղ դնելու ամբողջ պատճառը։ Սարքերը, որոնք պատասխանում են միայն տեղական հատվածում, ինչպիսիք են տպիչները և ոչ տեղական ենթացանցերը մերժող NAS-ի կառավարման էջերը, աշխատում են առանց լրացուցիչ երթուղավորման։ Դուք նաև ինքներդ եք շահագործում մեքենան, երթուղիչը և վերին կապը։
Ծախսերը ֆիզիկական են։ Տնային վերբեռնումը բոլոր հաճախորդների համար միաժամանակ առաստաղն է, այնպես որ տեսազանգն ու պահուստավորումը մրցում են նույն խողովակի համար։ Էլեկտրաէներգիա, սկավառակի մաշվածք, կարկատաններ, դինամիկ հասցե, որին պետք է DDNS, երթուղիչ, որը պետք է UDP փոխանցի ներս, և հնարավոր կրկնակի NAT — ամեն ինչ ընկնում է ձեզ վրա։ Այն, ինչ մարդիկ բաց են թողնում, վերականգնումն է՝ եթե տուփը մահանում է, երբ դուք դուրս եք, ձեր միակ ճանապարհը դեպի տուն մահանում է նրա հետ։ Պահեք երկրորդ սարք նույն բանալիներով, կամ գոնե ֆիզիկական հասանելիության պլան։
Եթե ուզում եք LAN հասանելիություն առանց տանը տուփի, կապ կառուցեք՝ ձևացնելու փոխարեն։ Ամպային endpoint-ը դառնում է երթուղիչ՝ թունել տան կողմից AllowedIPs = 192.168.1.0/24 -ով ամպային peer-ի վրա, գումարած փոխանցում և NAT ամպային տուփի վրա։ strongSwan-ի փոխանցման ուղեցույցը անցնում է այդ կարգավորման վերադարձի կեսով, և հենց այնտեղ են ձախողվում այս փորձերի մեծ մասը։ Տնային peer-ը հիմա պետք է աշխատի, որպեսզի ինչ-որ բան աշխատի, այնպես որ դուք մեկ կախվածությունը փոխանակեցիք մյուսով և պետք է դա գրեք։
Ինչի՞ համար է իրականում ամպային endpoint-ը
Ամպային endpoint-ը փոխում է ձեր հանրային ելքը։ Երթևեկությունը դուրս է գալիս մատակարարի հասցեների տիրույթից, և կայքերը տեսնում են այդ հասցեն ձեր տնայինի փոխարեն։ Դա է արժեքը, և դրա համար ամպային VPN-ը ձեզ NAS չի տալիս՝ դուք տեղափոխեցիք ելքը, ոչ թե LAN-ը։
Դուք դեռ շահագործում եք հյուրային համակարգը, VPN ծառայությունը և դրա հավատարմագրերը, մինչ մատակարարը շահագործում է հիպերվիզորը և ֆիզիկական ցանցը, և այս բաժանումը կարևոր է, երբ գիշերվա 2-ին ինչ-որ բան կոտրվում է։ Հանրային endpoint-ը անընդհատ սկանավորվում է, ուստի կառավարման պորտը փակ պահեք, թույլատրեք միայն VPN պորտը և կարկատեք ըստ ժամանակացույցի։ Անվտանգության խմբերն ու մատակարարի հրադադարները պետք է թույլատրեն այդ պորտը, և որոշ ամպեր դեն են նետում փոխանցված երթևեկությունը, քանի դեռ ինստանսում աղբյուրի և նպատակակետի ստուգումը չեք կարգավորել։
Փոքր ինստանսը ծածկում է մի բուռ հաճախորդ, բայց գաղտնագրումը CPU աշխատանք է, և վարկերը սպառած burstable ինստանսը անհավասար է վարվում շարունակական բեռի տակ։ Նայեք ձեր իրական օգտագործած ուղուն, ոչ թե բնութագրերի թերթին։
Որոշում, որը կարող եք գրել
Առաջադրանքն է որոշում տեղը, ոչ թե տուփի պիտակը։ Եթե ձեզ սարք է պետք ձեր տնային LAN-ում, ամենաէժան ճիշտ պատասխանը տանը endpoint-ն է, իսկ ամպային տուփն աշխատում է միայն վերադարձի կապը կառուցելուց հետո։ Եթե ձեզ այլ հանրային ելք է պետք, պատասխանը ամպն է, և LAN-ի հարցը երբեք չի առաջանում։ Երկուսն էլ ուզելը օրինական է, բայց նշանակում է երկու endpoint, երկու բանալիների հավաքածու և երկու փաստաթղթավորված երթուղի։
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
Ստուգեք հաճախորդից հերթով՝ ձեռքսեղմում, peer-ի հասցե, LAN հոսթ, ապա ելքի IP-ն։ curl -s https://ifconfig.me ցույց է տալիս, թե ինչ է տեսնում ինտերնետը, և ip route get 192.168.1.20 ցույց է տալիս, թե ինչ է մտածում endpoint-ը։ Երբ ելքի ստուգումն անցնում է, իսկ NAS-ինը կախված է, դուք արդեն ունեք պատասխանը տեղի մասին, իսկ հաճախորդի AllowedIPs-ը փոխելը երթուղի չի սարքի։ Բաժանված տողը, ինչպիսին 10.8.0.0/24, 192.168.1.0/24 է, LAN երթևեկությունը թունելում պահում է միայն այն ժամանակ, երբ այդ երթուղին իրոք գոյություն ունի։