Heima-VPN-þjónn gegn skýjaþjóni: hvor nær NAS-tækinu þínu?

Tunnillinn kemst upp, biðlarinn sýnir grænan punkt, og ssh 192.168.1.20 hangir samt þar til tíminn rennur út. Ég lendi í nákvæmlega þessu eftir að hafa leigt litla skýjaþjónustu og sett WireGuard á hana: handaband í lagi, DNS í lagi, og NAS-ið á skrifborðinu mínu jafn óaðgengilegt og ef það væri á tunglinu. Ekkert var athugavert við tunnilinn. Endapunkturinn stóð í neti án leiðar að heimilinu mínu. Staður endapunktsins ræður því hvaða net eru nágrannar, svo veldu hann út frá auðlindinni sem þú þarft að ná í fyrst og berðu saman hýsinguna síðar.

Tunnill nær aðeins netum sem endapunkturinn getur beint umferð til

VPN gefur biðlinum þínum vistfang innan eigin leiðakerfis endapunktsins. Þegar biðlarinn sendir pakka á 192.168.1.20 verður endapunkturinn að vita hvert hann fer. Tafla skýja-VM þekkir VPC-undirnet þjónustuaðilans; hún hefur aldrei heyrt um LAN-ið þitt. Tengt og aðgengilegt eru tvær ólíkar staðreyndir, og mest rugl milli heima og skýs kemur af því að taka þá fyrri sem sönnun fyrir þeirri seinni.

Ein skipun ræður úr. Á endapunktinum ip route get 192.168.1.20 nefnir annaðhvort LAN-tengi eða vísar á sjálfgefna leið. Á heimilisvél er svarið LAN-hliðin. Á skýjaþjóni fer pakkinn út á netið og deyr. Að kveikja á net.ipv4.ip_forward=1 og bæta við MASQUERADE-reglu breytir því ekki, því ekkert er til að senda áfram fyrr en eitthvað á heimilahlið lýkur tengingu inn í skýið.

Heimilistilfellið hefur seinni helming: pólveginn. Pakkar sem fara af LAN-inu í gegnum tunnilboxið fá NAT, eða LAN-ið þarf fasta leið til baka í undirnet tunnilsins. Þegar aðeins önnur áttin virkar, athugaðu sysctl net.ipv4.conf.all.rp_filter. Ströng andhverf leiðarsíun sleppir svörum sem berast á öðru tengi en leiðin spáir fyrir, og einkennin líta nákvæmlega út eins og eldveggjarregla.

Lestu einkennin áður en þú snertir stillingarnar

Tunnill myndast ekki: lyklar, vistfang endapunkts eða lokað UDP-gátt. Tunnill uppi en LAN-vélar dauðar: staðsetning og leiðarstýring. Tunnill uppi en vafur dautt: framsending, NAT eða DNS. Þetta eru þrjú lög og þrjár ólíkar athuganir, og að endurskrifa stillingar sem voru þegar réttar eyðir kvöldi.

Aðgengi að innan frá heimilinu á skilið eigin athugun, því það ræður því hvort hýsing heima sé yfirhöfuð möguleg. Berðu saman WAN-vistfangið sem beinirinn tilkynnir og vistfangið sem utanaðkomandi vél sér. Ef það fellur í 100.64.0.0/10, eða þau tvö stemma ekki, ertu bak við carrier-grade NAT og engin gáttarframsending mun nokkurn tíma virka. Raunhæfu valkostirnir eru endurvarp, skýjatenging sem hringir út frá heimilinu, eða að flytja endapunktinn.

Hvað hýsing heima kaupir og hvað hún kostar

Heimilið er eina staðsetningin sem er sjálfgefið innan LAN-sins, og það er öll ástæðan til að setja þjón þar. Tæki sem svara aðeins á staðbundna hlutann, eins og prentarar og stjórnunarþjónustusíður NAS sem hafna ekki staðbundnum undirnetum, virka án aukinnar leiðarstýringar. Þú rekur líka vélina, beininn og upptenginguna sjálfur.

Kostnaðurinn er líkamlegur. Upphleðsla heimilisins er þak fyrir alla biðlara í einu, svo myndsímtal og öryggisafrit keppa um sömu rör. Rafmagn, slit diska, plástrar, kraftstýrt vistfang sem þarf DDNS, beini sem verður að senda UDP inn, og hugsanlega tvöfalt NAT lenda allt á þér. Það sem fólk sleppir er endurheimt: ef boxið deyr meðan þú ert fjarverandi deyr eina leiðin þín inn í húsið með því. Haltu öðru tæki með sömu lyklum, eða að minnsta kosti áætlun um líkamlegt aðgengi.

Ef þú vilt LAN-aðgang án boxsins heima, byggðu tengingu í stað þess að þykjast. Skýjaendapunkturinn verður beinir: tunnill frá heimilishlið með AllowedIPs = 192.168.1.0/24 á skýjapeerinum, auk framsendingar og NAT á skýjaboxinu. Framsendingarleiðarvísir strongSwan fer í gegnum pólhelming þeirrar uppsetningar, og þar mistakast flestar þessara tilrauna. Heimilisfélaginn verður nú að vera uppi til að eitthvað virki, svo þú skiptir einni háð fyrir aðra og ættir að skrifa það niður.

Við hvað skýjaendapunktur er í raun

Skýjaendapunktur breytir opinberu útgöngunni þinni. Umferð fer frá vistfangasviði þjónustuaðilans, og vefir sjá það vistfang í stað heimilisfangsins. Það er gildið, og þess vegna gefur skýja-VPN þér ekki NAS-ið: þú færðir útganginn, ekki LAN-ið.

Þú rekur áfram gestakerfið, VPN-þjónustuna og skilríkin hennar á meðan þjónustuaðilinn rekur hypervisorinn og líkamlega netið, og sú skipting skiptir máli þegar eitthvað bilar klukkan 2 á nóttunni. Opinber endapunktur er skannaður stöðugt, svo haltu stjórngáttinni lokaðri, leyfðu aðeins VPN-gáttina og plástraðu samkvæmt áætlun. Öryggishópar og eldveggir þjónustuaðilans verða að leyfa þá gátt, og sum ský henda framsendri umferð nema þú stillir uppruna- og áfangastöðuathugun á þjóninum.

Lítill þjónn nær yfir handfylli biðlara, en dulkóðun er CPU-vinna, og burstable-þjónn sem klárast af inneignum hegðar sér ójafnt undir stöðugri álagi. Horfðu á leiðina sem þú notar í raun, ekki gagnablaðið.

Ákvörðun sem þú getur skrifað niður

Verkefnið ræður staðsetningunni, ekki límmiðinn á boxinu. Ef þú þarft tæki á heima-LAN-inu er ódýrasta rétta svarið endapunktur heima; skýjabox virkar aðeins eftir að þú hefur byggt tenginguna til baka. Ef þú þarft aðra opinbera útgöngu er skýið svarið og LAN-spurningin kemur aldrei upp. Að vilja bæði er lögmætt, en það þýðir tvo endapunkta, tvö lyklasett og tvær skjalfestar leiðir.

Staðfestu frá biðlinum í röð: handaband, peer-vistfang, LAN-vél, svo útgangs-IP. curl -s https://ifconfig.me sýnir hvað netið sér, og ip route get 192.168.1.20 sýnir hvað endapunkturinn heldur. Þegar útgangsathugunin stenst og NAS-athugunin hangir hefur þú þegar svarið um staðsetningu; að stilla AllowedIPs á biðlinum býr ekki til leið. Skipt lína eins og 10.8.0.0/24, 192.168.1.0/24 heldur LAN-umferð inni í tunnlinum aðeins þegar sú leið er raunverulega til.