Raggiungere un dispositivo di casa tramite una VPN di accesso remoto: cinque porte

Una VPN commerciale di uscita internet nasconde il vostro indirizzo; non vi collega alla vostra casa. Raggiungere il NAS o la stampante di una rete domestica richiede un gateway situato su quella rete e un client che costruisca un tunnel verso di esso. Il pacchetto deve poi superare cinque controlli, e qualsiasi di essi che fallisce appare uguale dall’esterno.

Porta 1: il client deve selezionare il tunnel

Verificate che il prefisso di destinazione sia davvero instradato nel tunnel sul client. Un profilo split-tunnel che spinge solo la subnet propria della VPN invierà 192.168.x.x direttamente fuori dall’interfaccia locale, dove non arriva da nessuna parte. Guardate la tabella di routing del client, non il nome del profilo.

È il guasto più comune con i client telefonici, che spesso per impostazione predefinita inviano solo DNS o solo un prefisso. Se manca la route, l’handshake può essere perfetto e il dispositivo comunque irraggiungibile.

Confermate che l’indirizzo del pool del client e la subnet di casa non si sovrappongano prima di proseguire.

Porta 2: il gateway deve inoltrare

La VPN termina su un host che deve inoltrare il pacchetto decifrato alla LAN. Ciò richiede l’inoltro IP abilitato e una policy del firewall che consenta il flusso dall’interfaccia VPN all’interfaccia LAN. Su un’appliance router di solito è integrato; su una macchina Linux con strongSwan o WireGuard sono due impostazioni che la gente dimentica. Controllate entrambe prima di testare il servizio, perché ciascuna da sola produce lo stesso timeout.

Testate con una cattura sull’interfaccia LAN, perché un pacchetto che non compare mai lì è stato scartato o mai inoltrato.

È un guasto diverso da quello di un servizio che rifiuta la connessione, e la distinzione fa risparmiare molto tempo. Mantenete il permesso stretto, limitato al servizio e al pool VPN invece che all’intera subnet.

Porta 3: il percorso di risposta decide tutto

Il target risponde all’indirizzo sorgente che ha visto, che è o l’indirizzo del pool del client o il gateway, a seconda che traduciate. Se il gateway predefinito del target è il router di casa e quel router non ha route verso il pool VPN, la risposta esce da internet e muore. È la classica connessione unidirezionale.

Esistono due correzioni legittime: aggiungere una route per il pool sul gateway LAN, o fare source-NAT sul gateway VPN in modo che il target veda sempre solo l’indirizzo del gateway. La seconda è più semplice e perde l’identità originale della sorgente.

Sceglietene una deliberatamente e annotate quale, perché le regole del firewall e i log dipendono da ciò. La guida all’inoltro di strongSwan percorre il lato Linux di quella decisione.

Porta 4: nomi e sovrapposizione di prefissi

I nomi di scoperta locali non attraversano un confine instradato, quindi un dispositivo che in casa appare con un nome amichevole può essere invisibile attraverso il tunnel. Fornite DNS per la zona privata, o documentate l’indirizzo. Qualunque nome usiate, deve risolversi in qualcosa che il client remoto possa instradare. Per questo un dispositivo può essere raggiungibile per indirizzo e invisibile per nome allo stesso tempo.

I prefissi sovrapposti sono l’altra trappola: se il pool del client è 192.168.1.0/24 e la rete di casa anche, il client tratta la destinazione come locale e non la invia mai attraverso il tunnel.

Rinumerate un lato, o usate un pool da un intervallo che non incontrerete mai a casa.

Porta 5: testate da fuori casa

Un test dalla cucina non dimostra nulla, perché il traffico potrebbe non lasciare mai la LAN. Collegatevi da un hotspot mobile o un’altra rete, poi percorrete le porte in ordine: route sul client, cattura sull’interfaccia LAN, risposta del servizio, cattura della risposta e risoluzione dei nomi. La prima porta che non produce prove è dove sta il lavoro.

Se il servizio risponde ma il nome no, avete un problema di DNS e non un problema di tunnel.

Conservate la configurazione funzionante in una nota con il pool, la route e la scelta NAT, perché la prossima sostituzione del router azzererà tutte e tre.