Getur reikandi VPN-biðlapi hýst þjónustu fyrir skrifstofuna?

Fartölva skrifstofunnar getur hringt inn heiman frá og samt veitt eitthvað sem skrifstofan þarf, en aðeins þegar þrjár aðskildar ákvarðanir falla saman. Göngin eru flutningur, innra vistfangið er áfangastaðurinn og stefnan ræður því hver má banka. Ef eitt þeirra er tekið sem eitt svar kemur hið þekkta kvörtun: hýsillinn svarar ping en forritið tengist aldrei. Hlutverkin eru ekki þau sömu og munurinn er einmitt þar sem hönnunarstarfið býr.

Stefna innhringingarinnar segir ekkert um stefnu þjónustunnar

Þegar biðlari byrjar göng opnar hann leið sem báðar stefnur geta notað þegar hún er til. Hvort ný tenging megi koma inn frá miðstöðinni að þeim biðlara er spurning um stefnu gáttarinnar, ekki eiginleiki þess sem hringdi. Á beintengdri OpenVPN miðstöð þarf þjónninn til dæmis leið að innra vistfangi biðlarans og framsendingu sem leyfir jafningjasambandið.

Ímyndaðu þér birgðakerfi sem spyr umboðsmann í reikandi fartölvum, eða forritara sem þarf prófunar-API frá vinnustöð heima. Báðir vilja að skrifstofuhliðin hefji samræðurnar, sem er andstæða hins venjulega biðlara-til-þjóns mynsturs.

Hýstar fjarþjónustuvörur eru mismunandi hér og mismunurinn er ekki galli. Sumar stýrðar VPN-þjónustur loka viljandi óumbeðnum tengingum að tengdum biðlurum vegna þess að líkan þeirra er biðlari-til-auðlindar, ekki auðlind-til-biðlara. Lestu skjalfesta arkitektúr vörunnar áður en þú lofar samstarfsmanni að fartölvan hans geti starfað sem þjónn.

Fylgdu heimleiðinni áður en þú opnar port

Leiðin hefur þrjá hluta: leið á gáttinni sem vísar að innra vistfangi biðlarans, stefnu sem leyfir tiltekinn símaanda og hlustandi þjónustu á markinu. Hver hluti bregst við á annan hátt, þess vegna segir «VPNið er uppi» nánast ekkert.

Góðu fréttirnar eru að innri leiðin þarf ekki framsendingu ports á heimaleiðbeinanda biðlarans. Það er tilgangurinn með að birta þjónustuna á vistfangi ganganna í stað WAN-vistfangs heimilisins, þar sem útsetningin og NAT-reglurnar væru allt aðrar. Heimaleiðbeinandi getur líka neitað að hairpina tengingu sem kemur frá skrifstofunni, svo WAN-leiðin bregst af ástæðum sem tengjast ekki VPNinu þínu. Að halda umferðinni inni í göngunum kemur í veg fyrir bæði vandamálin í einu.

Athugaðu líka markhliðina. Þjónusta sem er aðeins bundin við 127.0.0.1 getur ekki tekið tengingu sem kemur á ganga-tengið, hversu réttar sem leiðir gáttarinnar eru. Eldveggjarregla hýsilsins sem leyfir portið aðeins frá staðbundnu undirneti sleppir líka skrifstofuumferð, og sú regla er óháð VPN-stefnunni fyrir ofan.

Nöfn og vistföng eru hönnunarákvarðanir

Vistfang inni í göngunum er ekki sjálfkrafa nafn. Einkaskrá DNS sem þú stjórnar er skýrari en von um að uppgötvunarprotokoll fari yfir göngin, því staðbundið multicast nafnaupplausn helst á staðbundnum hluta og verður ekki DNS milli undirneta.

Stöðugleiki vistfangsins skiptir jafn miklu. Ef VPN-biðlarar taka úr laug með stuttum leigum breytist innra vistfang fartölvunnar milli lota og hvert bókamerki, eldveggssvið og vöktunartékkl sem byggt er á því brestur hljóðlega. Notaðu fyrirframgreiðslu eða skjalfesta leið fyrir kraftmikla uppfærslu.

Samræmdu nafnið við þann sem á VPN-auðkennina, svo skráin, vistfangsúthlutunin og aðgangsstefnan breytist saman í stað þriggja aðskildra miða.

Prófaðu þjónustuna, ekki aðildina

Frá markinu, staðfestu hvað hlustar og á hvaða vistfangi, staðfestu síðan sýn gáttarinnar á heimleiðina:

$ ss -ltnp | grep 8080
LISTEN 0 128 10.80.0.23:8080 0.0.0.0:*
$ ip -4 addr show tun0 | grep inet
inet 10.80.0.23/24 scope global tun0
$ ip route get 10.80.0.1
10.80.0.1 dev tun0 src 10.80.0.23

Prófaðu nú frá skrifstofuhliðinni með raunverulegri beiðni í stað bergmáls. Árangursríkt curl gegn þjónustunni sannar leiðina, stefnuna og hlustandann í einu, en árangursríkt ping sannar aðeins að ICMP sé leyft. Ef beiðnin brestur skaltu fara aftur í gegnum hlutana þrjá í stað þess að víkka eldvegginn og vona.

Framboð á heima í sömu samræðum. Fartölva sefur, reikar milli neta og aftengist í lok dags. Þjónusta sem verður að svara á hvaða stundu sem er á heima á hýsli sem er alltaf á, en þjónusta í bestu viðleitni getur verið á biðlaranum með þá takmörkun skrifaða.

Birtu auðlindina viljandi, með nafni, lista yfir leyfða símaendur og eiganda, og fjartækið verður studd þjónusta í stað tilviljunarkennds þjóns.