Үй құрылғысына қашықтан қатынау VPN арқылы жету: бес қақпа

Коммерциялық интернет-шығу VPN мекенжайыңызды жасырады; ол сізді өз үйіңізбен қоспайды. Үй желісіндегі NAS немесе принтерге жету үшін сол желіде тұрған шлюз және оған туннель құратын клиент керек. Содан кейін пакет бес тексеруден өтуі керек, және олардың кез келгенінің сәтсіздігі сырттан бірдей көрінеді.

Қақпа 1: клиент туннельді таңдауы керек

Клиентте межелі префикстің шынымен туннельге бағытталғанын тексеріңіз. Тек VPN-нің өз ішкі желісін жіберетін split-tunnel профилі 192.168.x.x-ті жергілікті интерфейстен тікелей шығарады, ол еш жерге жетпейді. Профиль атауына емес, клиенттің маршруттау кестесіне қараңыз.

Бұл телефон клиенттерінде ең жиі кездесетін сәтсіздік; олар әдетте әдепкі бойынша тек DNS немесе тек бір префикс жібереді. Маршрут болмаса, қол алысу мінсіз болуы мүмкін, ал құрылғы әлі де қолжетімсіз.

Әрі қарай жалғастырмас бұрын клиент пулының мекенжайы мен үй ішкі желісінің қабаттаспайтынын растаңыз.

Қақпа 2: шлюз жіберуі керек

VPN шифры ашылған пакетті LAN-ға жіберуі тиіс хостта аяқталады. Ол үшін IP жіберу қосылған болуы және өрт қабырғасының саясаты VPN интерфейсінен LAN интерфейсіне ағынды рұқсат етуі керек. Маршруттауыш құрылғыда бұл әдетте кірістірілген; strongSwan немесе WireGuard істейтін Linux жәшігінде бұл адамдар ұмытатын екі параметр. Қызметті сынамас бұрын екеуін де тексеріңіз, өйткені әрқайсысы жеке-дара бірдей күту уақытын береді.

LAN интерфейсінде түсіру арқылы сынаңыз, өйткені онда ешқашан көрінбейтін пакет не тасталды, не ешқашан жіберілмеді.

Бұл қосылымнан бас тартатын қызметтен өзгеше сәтсіздік, және бұл айырмашылық көп уақытты үнемдейді. Рұқсатты тар ұстаңыз, бүкіл ішкі желіге емес, қызмет пен VPN пулына шектеңіз.

Қақпа 3: жауап жолы бәрін шешеді

Мақсат өзі көрген дереккөз мекенжайына жауап береді, ол аударуыңызға байланысты клиент пулының мекенжайы немесе шлюз. Егер мақсаттың әдепкі шлюзі үй маршруттауышы болса және оның VPN пулына маршруты болмаса, жауап интернет арқылы шығып өледі. Бұл классикалық бір бағытты қосылым.

Екі заңды шешім бар: LAN шлюзіне пул үшін маршрут қосу, немесе VPN шлюзінде source-NAT жасау, осылайша мақсат әрқашан тек шлюз мекенжайын көреді. Екіншісі оңайырақ және бастапқы дереккөз бірегейлігін жоғалтады.

Бірін әдейі таңдап, қайсысын жазуды ұмытпаңыз, өйткені өрт қабырғасы ережелері мен журналдар оған тәуелді. strongSwan жіберу жөніндегі нұсқаулығы осы шешімнің Linux жағын қарастырады.

Қақпа 4: атаулар және префикстердің қабаттасуы

Жергілікті анықтау атаулары маршрутталған шекарадан өтпейді, сондықтан үй ішінде достық атаумен көрінетін құрылғы туннель арқылы көрінбеуі мүмкін. Жеке аймақ үшін DNS беріңіз немесе мекенжайды құжаттаңыз. Қандай атау қолдансаңыз да, ол қашықтағы клиент маршруттай алатын нәрсеге шешілуі керек. Сондықтан құрылғы бір уақытта мекенжай бойынша қолжетімді және атау бойынша көрінбейтін болуы мүмкін.

Қабаттасатын префикстер — екінші тұзақ: клиент пулы 192.168.1.0/24 болса және үй желісі де сол болса, клиент межені жергілікті деп санайды және оны ешқашан туннель арқылы жібермейді.

Бір жағын қайта нөмірлеңіз, немесе үйде ешқашан кездеспейтін ауқымнан пул қолданыңыз.

Қақпа 5: үйден тыс жерден сынаңыз

Ас үйден жасалған сынақ ештеңені дәлелдемейді, өйткені трафик LAN-нан ешқашан шықпауы мүмкін. Мобильді хотспоттан немесе басқа желіден қосылыңыз, содан кейін қақпаларды ретімен жүріп өтіңіз: клиенттегі маршрут, LAN интерфейсіндегі түсіру, қызмет жауабы, жауапты түсіру және атауларды шешу. Дәлел бермейтін бірінші қақпа — жұмыс сол жерде.

Қызмет жауап беріп, атау бермесе, сізде туннель емес, DNS мәселесі бар.

Жұмыс істеп тұрған конфигурацияны пул, маршрут және NAT таңдауымен бірге жазбада сақтаңыз, өйткені келесі маршруттауыш ауыстыру үшеуін де қалпына келтіреді.