სახლის მოწყობილობაზე წვდომა დისტანციური წვდომის VPN-ით: ხუთი კარიბჭე

კომერციული ინტერნეტ-გასასვლელი VPN მალავს თქვენს მისამართს; ის არ გაკავშირებთ საკუთარ სახლთან. სახლის ქსელში NAS-ზე ან პრინტერზე მისასვლელად საჭიროა კარიბჭე, რომელიც ამ ქსელში ზის, და კლიენტი, რომელიც მისკენ გვირაბს აშენებს. შემდეგ პაკეტმა ხუთი შემოწმება უნდა გაიაროს, და რომელიმე მათგანის წარუმატებლობა გარედან ერთნაირად გამოიყურება.

კარიბჭე 1: კლიენტმა უნდა აირჩიოს გვირაბი

შეამოწმეთ, ნამდვილად მიდის თუ არა დანიშნულების პრეფიქსი კლიენტზე გვირაბში. Split-tunnel პროფილი, რომელიც მხოლოდ VPN-ის საკუთარ ქვექსელს აგზავნის, 192.168.x.x-ს პირდაპირ ლოკალური ინტერფეისიდან გაიყვანს, სადაც ის არსად მივა. შეხედეთ კლიენტის მარშრუტიზაციის ცხრილს და არა პროფილის სახელს.

ეს ყველაზე ხშირი წარუმატებლობაა ტელეფონის კლიენტებში, რომლებიც ხშირად ნაგულისხმევად მხოლოდ DNS-ს ან მხოლოდ ერთ პრეფიქსს აგზავნიან. თუ მარშრუტი აკლია, ხელის ჩამორთმევა შეიძლება სრულყოფილი იყოს და მოწყობილობა მაინც მიუწვდომელი.

სანამ გააგრძელებთ, დაადასტურეთ, რომ კლიენტის აუზის მისამართი და სახლის ქვექსელი არ ემთხვევა ერთმანეთს.

კარიბჭე 2: კარიბჭემ უნდა გადასცეს

VPN მთავრდება ჰოსტზე, რომელმაც გაშიფრული პაკეტი LAN-ზე უნდა გადასცეს. ამისთვის საჭიროა IP გადაცემის ჩართვა და firewall-ის პოლიტიკა, რომელიც VPN ინტერფეისიდან LAN ინტერფეისისკენ ნაკადს უშვებს. როუტერ მოწყობილობაზე ეს ჩვეულებრივ ჩაშენებულია; strongSwan ან WireGuard-ის მქონე Linux-ის ყუთზე ეს ორი პარამეტრია, რომლებიც ადამიანებს ავიწყდებათ. შეამოწმეთ ორივე სერვისის გამოცდამდე, რადგან ყოველი მათგანი ცალკე იმავე დროის ამოწურვას იძლევა.

სცადეთ LAN ინტერფეისზე ჩაწერით, რადგან პაკეტი, რომელიც იქ არასოდეს ჩნდება, ან გადაგდებულია, ან არასოდეს გადაცემულა.

ეს განსხვავებული წარუმატებლობაა დაკავშირებაზე უარის მთქმელი სერვისისგან, და ეს განსხვავება ბევრ დროს ზოგავს. შენარჩუნეთ ნებართვა ვიწრო, შემოიფარგლეთ სერვისითა და VPN აუზით და არა მთელი ქვექსელით.

კარიბჭე 3: პასუხის გზა ყველაფერს წყვეტს

მიზანი პასუხობს იმ წყაროს მისამართზე, რომელიც მან დაინახა, ეს არის ან კლიენტის აუზის მისამართი, ან კარიბჭე, იმის მიხედვით, თარგმნით თუ არა. თუ მიზნის ნაგულისხმევი კარიბჭე სახლის როუტერია და ამ როუტერს VPN აუზამდე მარშრუტი არ აქვს, პასუხი ინტერნეტით გადის და კვდება. ეს კლასიკური ცალმხრივი კავშირია.

არსებობს ორი კანონიერი გადაწყვეტა: აუზისთვის მარშრუტის დამატება LAN კარიბჭეზე, ან source-NAT VPN კარიბჭეზე, რომ მიზანმა ყოველთვის მხოლოდ კარიბჭის მისამართი დაინახოს. მეორე უფრო ადვილია და კარგავს წყაროს თავდაპირველ იდენტობას.

აირჩიეთ ერთი განზრახ და ჩაწერეთ რომელი, რადგან firewall-ის წესები და ჟურნალები ამაზეა დამოკიდებული. strongSwan-ის გადაცემის სახელმძღვანელო გადის ამ გადაწყვეტილების Linux მხარეს.

კარიბჭე 4: სახელები და პრეფიქსების გადაფარვა

ლოკალური აღმოჩენის სახელები არ კვეთს მარშრუტიზებულ საზღვარს, ამიტომ მოწყობილობა, რომელიც სახლში მეგობრული სახელით ჩანს, გვირაბით შეიძლება უხილავი იყოს. უზრუნველყავით DNS კერძო ზონისთვის, ან დააფიქსირეთ მისამართი. რომელი სახელიც არ უნდა გამოიყენოთ, ის უნდა გადაიშალოს იმაში, რისი მარშრუტიზაციაც დისტანციურ კლიენტს შეუძლია. ამიტომ მოწყობილობა შეიძლება ერთდროულად იყოს მისამართით ხელმისაწვდომი და სახელით უხილავი.

გადაფარებული პრეფიქსები მეორე ხაფანგია: თუ კლიენტის აუზი 192.168.1.0/24-ია და სახლის ქსელიც, კლიენტი დანიშნულებას ლოკალურად თვლის და არასოდეს აგზავნის მას გვირაბით.

გადანომრეთ ერთი მხარე, ან გამოიყენეთ აუზი ისეთი დიაპაზონიდან, რომელსაც სახლში არასოდეს შეხვდებით.

კარიბჭე 5: სცადეთ სახლის გარედან

სამზარეულოდან გაკეთებული ტესტი არაფერს ამტკიცებს, რადგან ტრაფიკი შეიძლება LAN-იდან არასოდეს გავიდეს. დაუკავშირდით მობილურ ჰოტსპოტს ან სხვა ქსელს, შემდეგ კარიბჭეები რიგით გაიარეთ: მარშრუტი კლიენტზე, ჩაწერა LAN ინტერფეისზე, სერვისის პასუხი, პასუხის ჩაწერა და სახელების გადაშლა. პირველი კარიბჭე, რომელიც მტკიცებულებას არ იძლევა, ის ადგილია, სადაც სამუშაოა.

თუ სერვისი პასუხობს, მაგრამ სახელი არა, თქვენ გაქვთ DNS პრობლემა და არა გვირაბის პრობლემა.

შეინახეთ მომუშავე კონფიგურაცია ჩანაწერში აუზით, მარშრუტით და NAT-ის არჩევანით, რადგან როუტერის შემდეგი შეცვლა სამივეს გადააყენებს.