원격 액세스 VPN으로 집 안 기기에 접근하기: 다섯 개의 관문

상용 인터넷 출구 VPN은 주소를 숨기지만, 당신을 자기 집에 연결해 주지는 않습니다. 가정 네트워크의 NAS나 프린터에 접근하려면 그 네트워크에 있는 게이트웨이와 그곳으로 터널을 만드는 클라이언트가 필요합니다. 그 다음 패킷은 다섯 가지 검사를 통과해야 하며, 그중 하나라도 실패하면 밖에서는 똑같이 보입니다.

관문 1: 클라이언트가 터널을 선택해야 한다

클라이언트에서 목적지 프리픽스가 실제로 터널로 라우팅되는지 확인하십시오. VPN 자체 서브넷만 밀어 넣는 분할 터널 프로파일은 192.168.x.x를 로컬 인터페이스 밖으로 곧장 보내며, 그곳에서는 아무 데도 도달하지 못합니다. 프로파일 이름이 아니라 클라이언트의 라우팅 테이블을 보십시오.

휴대폰 클라이언트에서 가장 흔한 실패이며, 기본적으로 DNS만 또는 프리픽스 하나만 보내는 경우가 많습니다. 경로가 없으면 핸드셰이크는 완벽해도 기기는 여전히 도달할 수 없습니다.

더 진행하기 전에 클라이언트 풀 주소와 집 서브넷이 겹치지 않는지 확인하십시오.

관문 2: 게이트웨이가 포워딩해야 한다

VPN은 복호화된 패킷을 LAN으로 포워딩해야 하는 호스트에서 종료됩니다. 이를 위해서는 IP 포워딩이 켜져 있고 VPN 인터페이스에서 LAN 인터페이스로의 흐름을 허용하는 방화벽 정책이 필요합니다. 라우터 장비에서는 보통 내장되어 있고, strongSwan이나 WireGuard를 돌리는 Linux 박스에서는 사람들이 잊는 두 가지 설정입니다. 서비스를 시험하기 전에 둘 다 확인하십시오. 어느 하나만으로도 같은 시간 초과가 납니다.

LAN 인터페이스에서 캡처로 시험하십시오. 그곳에 한 번도 나타나지 않는 패킷은 버려졌거나 한 번도 포워딩되지 않은 것입니다.

연결을 거부하는 서비스와는 다른 실패이며, 이 구분이 많은 시간을 아껴 줍니다. 허용은 좁게 유지하고, 전체 서브넷이 아니라 서비스와 VPN 풀로 제한하십시오.

관문 3: 응답 경로가 모든 것을 결정한다

대상은 자기가 본 출발지 주소로 응답하며, 그것은 변환 여부에 따라 클라이언트 풀 주소이거나 게이트웨이입니다. 대상의 기본 게이트웨이가 집 라우터이고 그 라우터에 VPN 풀로 가는 경로가 없으면, 응답은 인터넷으로 나가 죽습니다. 이것이 전형적인 단방향 연결입니다.

정당한 수정은 두 가지입니다. LAN 게이트웨이에 풀 경로를 추가하거나, VPN 게이트웨이에서 source-NAT를 하여 대상이 항상 게이트웨이 주소만 보게 하는 것입니다. 두 번째가 더 쉽지만 원래 출발지 신원을 잃습니다.

의도적으로 하나를 고르고 어느 것인지 적어 두십시오. 방화벽 규칙과 로그가 그것에 달려 있습니다. strongSwan 포워딩 안내서가 그 결정의 Linux 쪽을 다룹니다.

관문 4: 이름과 프리픽스 중복

로컬 검색 이름은 라우팅 경계를 넘지 않으므로, 집 안에서 친숙한 이름으로 보이는 기기가 터널 너머에서는 보이지 않을 수 있습니다. 사설 영역용 DNS를 제공하거나 주소를 문서화하십시오. 어떤 이름을 쓰든 원격 클라이언트가 라우팅할 수 있는 무언가로 해석되어야 합니다. 그래서 기기가 주소로는 도달 가능하고 이름으로는 보이지 않는 일이 동시에 생깁니다.

프리픽스 중복도 함정입니다. 클라이언트 풀이 192.168.1.0/24이고 집 네트워크도 같다면, 클라이언트는 목적지를 로컬로 취급하고 터널로 보내지 않습니다.

한쪽의 번호를 다시 매기거나, 집에서 절대 만나지 않을 범위의 풀을 쓰십시오.

관문 5: 집 밖에서 시험한다

부엌에서 한 시험은 아무것도 증명하지 못합니다. 트래픽이 LAN을 떠나지 않을 수 있기 때문입니다. 모바일 핫스팟이나 다른 네트워크에서 연결한 뒤 관문을 순서대로 밟으십시오. 클라이언트의 경로, LAN 인터페이스의 캡처, 서비스 응답, 응답 캡처, 이름 해석 순서입니다. 증거를 만들지 못하는 첫 관문이 일해야 할 지점입니다.

서비스는 응답하는데 이름이 응답하지 않는다면, 터널 문제가 아니라 DNS 문제입니다.

동작하는 구성을 풀, 경로, NAT 선택과 함께 메모에 남기십시오. 다음 라우터 교체가 세 가지를 모두 초기화하기 때문입니다.