Տնային սարքին հասնել հեռահար մուտքի VPN-ով՝ հինգ դարպաս

Առևտրային ինտերնետ-ելքի VPN-ը թաքցնում է ձեր հասցեն, բայց չի միացնում ձեզ ձեր սեփական տնին։ Տնային ցանցում NAS-ին կամ տպիչին հասնելու համար պետք է դարպաս, որը գտնվում է այդ ցանցում, և հաճախորդ, որը թունել է կառուցում դեպի այն։ Այնուհետև փաթեթը պետք է անցնի հինգ ստուգում, և դրանցից ցանկացած ձախողում դրսից նույն տեսքն ունի։

Դարպաս 1. հաճախորդը պետք է ընտրի թունելը

Ստուգեք, որ նպատակակետի նախածանցը հաճախորդում իսկապես ուղղորդվում է թունել։ Split-tunnel պրոֆիլը, որը ուղարկում է միայն VPN-ի սեփական ենթացանցը, 192.168.x.x-ը կուղարկի ուղիղ տեղական ինտերֆեյսից, որտեղ այն ոչ մի տեղ չի հասնի։ Նայեք հաճախորդի երթուղային աղյուսակին, ոչ թե պրոֆիլի անվանը։

Սա ամենահաճախ հանդիպող ձախողումն է հեռախոսային հաճախորդների մոտ, որոնք հաճախ լռելյայն ուղարկում են միայն DNS կամ միայն մեկ նախածանց։ Եթե երթուղին բացակայում է, ձեռքսեղմումը կարող է կատարյալ լինել, իսկ սարքը՝ դեռ անհասանելի։

Նախքան շարունակելը հաստատեք, որ հաճախորդի լողավազանի հասցեն և տնային ենթացանցը չեն համընկնում։

Դարպաս 2. դարպասը պետք է փոխանցի

VPN-ն ավարտվում է հոսթի վրա, որը պետք է ապակոդավորված փաթեթը փոխանցի LAN։ Դա պահանջում է միացված IP փոխանցում և firewall-ի քաղաքականություն, որը թույլ է տալիս հոսքը VPN ինտերֆեյսից LAN ինտերֆեյս։ Ռաութեր սարքում դա սովորաբար ներկառուցված է. strongSwan կամ WireGuard օգտագործող Linux տուփում դրանք երկու կարգավորումներ են, որոնք մարդիկ մոռանում են։ Ստուգեք երկուսն էլ ծառայությունը փորձարկելուց առաջ, քանի որ դրանցից յուրաքանչյուրը մենակ տալիս է նույն ժամկետի սպառումը։

Փորձարկեք LAN ինտերֆեյսի վրա որսով, քանի որ փաթեթը, որը երբեք այնտեղ չի հայտնվում, կա՛մ հեռացվել է, կա՛մ երբեք չի փոխանցվել։

Սա այլ ձախողում է, քան միացումը մերժող ծառայությունը, և այդ տարբերությունը շատ ժամանակ է խնայում։ Թույլտվությունը պահեք նեղ՝ սահմանափակված ծառայությամբ և VPN լողավազանով, այլ ոչ ամբողջ ենթացանցով։

Դարպաս 3. պատասխանի ուղին որոշում է ամեն ինչ

Նպատակը պատասխանում է այն աղբյուրի հասցեին, որը տեսել է՝ դա կա՛մ հաճախորդի լողավազանի հասցեն է, կա՛մ դարպասը՝ կախված նրանից՝ թարգմանո՞ւմ եք։ Եթե նպատակի լռելյայն դարպասը տնային ռաութերն է, և այդ ռաութերը VPN լողավազան տանող երթուղի չունի, պատասխանը դուրս է գալիս ինտերնետով և մահանում։ Սա դասական միակողմանի միացումն է։

Գոյություն ունի երկու օրինական լուծում՝ ավելացնել երթուղի լողավազանի համար LAN դարպասում, կամ source-NAT անել VPN դարպասում, որպեսզի նպատակը միշտ տեսնի միայն դարպասի հասցեն։ Երկրորդը ավելի հեշտ է և կորցնում է աղբյուրի սկզբնական ինքնությունը։

Ընտրեք մեկը գիտակցաբար և գրեք, թե որը, քանի որ firewall-ի կանոններն ու լոգերը դրանից են կախված։ strongSwan-ի փոխանցման ուղեցույցը անցնում է այդ որոշման Linux կողմով։

Դարպաս 4. անունները և նախածանցների համընկնումը

Տեղական հայտնաբերման անունները չեն անցնում երթուղավորված սահմանը, ուստի սարքը, որը տանը երևում է ընկերական անունով, թունելի միջով կարող է անտեսանելի լինել։ Ապահովեք DNS մասնավոր գոտու համար կամ փաստաթղթավորեք հասցեն։ Ինչ անուն էլ օգտագործեք, այն պետք է լուծվի մի բանի, որը հեռավոր հաճախորդը կարող է երթուղավորել։ Դրա համար սարքը կարող է միաժամանակ հասանելի լինել հասցեով և անտեսանելի՝ անունով։

Համընկնող նախածանցները մյուս թակարդն են. եթե հաճախորդի լողավազանը 192.168.1.0/24 է, և տնային ցանցը նույնպես, հաճախորդը նպատակակետը համարում է տեղական և երբեք չի ուղարկում այն թունելով։

Վերահամարակալեք մի կողմը, կամ օգտագործեք լողավազան մի միջակայքից, որին տանը երբեք չեք հանդիպի։

Դարպաս 5. փորձարկեք տնից դուրս

Խոհանոցից արված փորձարկումը ոչինչ չի ապացուցում, քանի որ երթևեկությունը գուցե երբեք չլքի LAN-ը։ Միացեք բջջային hotspot-ից կամ այլ ցանցից, ապա անցեք դարպասները հերթականությամբ՝ երթուղի հաճախորդում, որս LAN ինտերֆեյսում, ծառայության պատասխան, պատասխանի որս և անունների լուծում։ Առաջին դարպասը, որը ապացույց չի տալիս, այնտեղ է, որտեղ աշխատանքն է։

Եթե ծառայությունը պատասխանում է, բայց անունը՝ ոչ, դուք ունեք DNS խնդիր, ոչ թե թունելի խնդիր։

Պահեք աշխատող կոնֆիգուրացիան գրառման մեջ՝ լողավազանի, երթուղու և NAT ընտրության հետ, քանի որ հաջորդ ռաութերի փոխարինումը կվերականգնի բոլոր երեքը։