Menjangkau perangkat rumah lewat VPN akses jarak jauh: lima gerbang

VPN komersial untuk keluar ke internet menyembunyikan alamat Anda; ia tidak menghubungkan Anda ke rumah Anda sendiri. Menjangkau NAS atau printer di jaringan rumah membutuhkan gateway yang berada di jaringan itu dan klien yang membangun tunnel ke sana. Paketnya kemudian harus melewati lima pemeriksaan, dan kegagalan salah satunya terlihat sama dari luar.

Gerbang 1: klien harus memilih tunnel

Periksa apakah prefiks tujuan benar-benar dirutekan ke tunnel di klien. Profil split-tunnel yang hanya mendorong subnet VPN sendiri akan mengirim 192.168.x.x langsung keluar dari antarmuka lokal, tempat ia tidak sampai ke mana pun. Lihat tabel routing klien, bukan nama profil.

Ini kegagalan paling umum pada klien ponsel, yang sering secara default hanya mengirim DNS atau hanya satu prefiks. Jika rutenya hilang, handshake bisa sempurna dan perangkat tetap tak terjangkau.

Pastikan alamat pool klien dan subnet rumah tidak tumpang tindih sebelum melanjutkan.

Gerbang 2: gateway harus meneruskan

VPN berakhir di host yang harus meneruskan paket yang didekripsi ke LAN. Itu membutuhkan penerusan IP aktif dan kebijakan firewall yang mengizinkan aliran dari antarmuka VPN ke antarmuka LAN. Pada perangkat router ini biasanya sudah terpasang; pada kotak Linux dengan strongSwan atau WireGuard ada dua pengaturan yang orang lupakan. Periksa keduanya sebelum menguji layanan, karena salah satu saja menghasilkan waktu tunggu yang sama.

Uji dengan tangkapan di antarmuka LAN, karena paket yang tidak pernah muncul di sana telah dibuang atau tidak pernah diteruskan.

Itu kegagalan yang berbeda dari layanan yang menolak koneksi, dan perbedaan itu menghemat banyak waktu. Jaga izin tetap sempit, dibatasi pada layanan dan pool VPN alih-alih seluruh subnet.

Gerbang 3: jalur balasan menentukan segalanya

Target membalas ke alamat sumber yang dilihatnya, yaitu alamat pool klien atau gateway, tergantung apakah Anda menerjemahkan. Jika gateway default target adalah router rumah dan router itu tidak punya rute ke pool VPN, balasannya keluar lewat internet dan mati. Inilah koneksi satu arah klasik.

Ada dua perbaikan yang sah: menambahkan rute untuk pool di gateway LAN, atau melakukan source-NAT di gateway VPN agar target selalu hanya melihat alamat gateway. Yang kedua lebih mudah dan kehilangan identitas sumber asli.

Pilih satu dengan sengaja dan catat yang mana, karena aturan firewall dan log bergantung padanya. Panduan penerusan strongSwan menelusuri sisi Linux dari keputusan itu.

Gerbang 4: nama dan tumpang tindih prefiks

Nama penemuan lokal tidak melintasi batas yang dirutekan, jadi perangkat yang muncul sebagai nama ramah di dalam rumah bisa tak terlihat lewat tunnel. Sediakan DNS untuk zona privat, atau dokumentasikan alamatnya. Nama apa pun yang Anda pakai harus diterjemahkan ke sesuatu yang bisa dirutekan klien jarak jauh. Itu sebabnya perangkat bisa terjangkau lewat alamat dan tak terlihat lewat nama pada saat yang sama.

Prefiks yang tumpang tindih adalah jebakan lainnya: jika pool klien 192.168.1.0/24 dan jaringan rumah juga, klien menganggap tujuan sebagai lokal dan tidak pernah mengirimnya lewat tunnel.

Nomori ulang satu sisi, atau gunakan pool dari rentang yang tidak akan pernah Anda temui di rumah.

Gerbang 5: uji dari luar rumah

Uji dari dapur tidak membuktikan apa pun, karena lalu lintasnya mungkin tidak pernah meninggalkan LAN. Hubungkan dari hotspot seluler atau jaringan lain, lalu jalani gerbangnya secara berurutan: rute di klien, tangkapan di antarmuka LAN, respons layanan, tangkapan balasan, dan resolusi nama. Gerbang pertama yang tidak menghasilkan bukti adalah tempat pekerjaannya.

Jika layanannya menjawab tetapi namanya tidak, Anda punya masalah DNS, bukan masalah tunnel.

Simpan konfigurasi yang bekerja dalam catatan bersama pool, rute, dan pilihan NAT, karena penggantian router berikutnya akan mereset ketiganya.