Үй VPN сервери же булут сервери: кайсынысы сиздин NAS-ка жетет?
Туннель көтөрүлөт, бирок үйдөгү NAS жеткиликсиз бойдон калат. Endpoint ордун биринчи тийиш керек ресурска жараша тандап, анан маршрутту текшериңиз.
Туннель көтөрүлөт, клиент жашыл чекит көрсөтөт, бирок ssh 192.168.1.20 дагы эле таймаутка чейин илинип турат. Кичинекей булут инстанциясын ижарага алып, ага WireGuard орноткондон кийин дал ушундай болду: кол алышуу тартибинде, DNS тартибинде, ал эми столумдагы NAS Айда жаткандай жеткиликсиз. Туннелде эч кандай кемчилик жок эле. Endpoint менин үйүмө маршруту жок тармакта турган. Endpoint орду кайсы тармактар кошуна экенин аныктайт, ошондуктан аны биринчи тийиш керек ресурс боюнча тандап, хостингди экинчи кезекте салыштырыңыз.
Туннель endpoint маршруттай алган тармактарга гана жетет
VPN клиентиңизге endpointтин өз маршруттоо доменинде дарек берет. Клиент 192.168.1.20-га пакет жибергенде, endpoint анын кайда кетээрин билиши керек. Булут VMдин таблицасы провайдердин VPC ички тармактарын билет; ал сиздин LAN жөнүндө эч качан уга элек. Туташкан жана жеткиликтүү эки башка факт, ал эми үй менен булуттун ортосундагы башаламандыктын көбү биринчисин экинчисинин далили деп кабыл алуудан келет.
Бир команда чечет. Endpointте ip route get 192.168.1.20 же LAN интерфейсин атайт, же демейки маршрутту көрсөтөт. Үй машинасында жооп — LAN тарабы. Булут инстанциясында пакет интернетке карай чыгып өлөт. net.ipv4.ip_forward=1 күйгүзүү жана MASQUERADE эрежесин кошуу муну өзгөртпөйт, анткени үй тарапта бир нерсе булутка байланышты бүтүрмөйүнчө, алдыга жиберүүгө эч нерсе жок.
Үй учурунун экинчи жарымы бар: кайтуу жолу. Туннель кутусу аркылуу LANдан чыккан пакеттер NATталат, же LANга туннелдин ички тармагына карай статикалык маршрут керек. Бир гана багыт иштегенде, текшериңиз sysctl net.ipv4.conf.all.rp_filter. Катуу кайтарым маршрут чыпкасы маршрут болжолдогондон башка интерфейске келген жоопторду таштайт, жана симптом так өрт дубалынын эрежесиндей көрүнөт.
Конфигурацияга тийүүдөн мурун симптомду окуңуз
Туннель түзүлбөйт: ачкычтар, endpoint дареги же блоктолгон UDP порту. Туннель көтөрүлдү, бирок LAN хосттору өлүк: жайгашуу жана маршруттоо. Туннель көтөрүлдү, бирок сереп өлүк: кайра багыттоо, NAT же DNS. Булар үч катмар жана үч башка текшерүү, ал эми мурунтан туура конфигурацияны кайра жазуу кечти текке кетирет.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
Үйгө кирүүчү жеткиликтүүлүк өзүнчө текшерүүгө татыктуу, анткени ал үйдө хостинг жалпы эле мүмкүнбү же жокпу аныктайт. Роутериңиз билдирген WAN дарегин сырткы хост көргөн дарек менен салыштырыңыз. Эгер ал 100.64.0.0/10 ичине түшсө, же экөө дал келбесе, сиз carrier-grade NAT артындасыз жана эч бир портту кайра багыттоо эч качан иштебейт. Реалдуу варианттар — реле, үйдөн сыртка чалган булут байланышы, же endpointти жылдыруу.
Үйдөгү хостинг эмне берет жана канча турат
Үй — демейки боюнча LAN ичинде жайгашкан жалгыз орун, жана серверди ошол жерге коюунун бүткүл себеби ушул. Бир гана жергиликтүү сегментте жооп берген түзмөктөр, мисалы принтерлер жана жергиликтүү эмес ички тармактарды четке каккан NAS администратор барактары, кошумча маршруттоосуз иштейт. Машинаны, роутерди жана байланыш каналын өзүңүз башкарасыз.
Чыгымдар физикалык. Үйдөгү жүктөө бир убакта бардык клиенттер үчүн чек, ошондуктан видеочалуу менен камдык көчүрмө бир түтүк үчүн атаандашат. Электр, дисктин эскириши, патчтар, DDNS керек кылган динамикалык дарек, UDPны ичке кайра багыттай турган роутер жана балким кош NAT — баары сизге түшөт. Адамдар өткөрүп жиберген нерсе — калыбына келтирүү: эгер куту сиз жокто өлсө, үйгө бара турган жалгыз жолуңуз да аны менен өлөт. Бирдей ачкычтары бар экинчи түзмөк, же жок дегенде физикалык кирүү планын кармаңыз.
Үйдө кутусуз LAN кирүүнү кааласаңыз, өзүңүздү көрсөтүүнүн ордуна байланыш куруңуз. Булут endpointи роутерге айланат: үй тараптан AllowedIPs = 192.168.1.0/24 бар туннель булут peerине, кошумча кайра багыттоо жана NAT булут кутусунда. strongSwanдын кайра багыттоо нускамасы ошол конфигурациянын кайтуу жарымын түшүндүрөт, жана дал ошол жерде бул аракеттердин көбү ийгиликсиз болот. Үй peerи эми бир нерсе иштеши үчүн көтөрүлүшү керек, ошондуктан сиз бир көз карандылыкты экинчисине алмаштырдыңыз жана муну жазып коюу керек.
Булут endpointи чындыгында эмне үчүн
Булут endpointи ачык чыгуучу жолуңузду өзгөртөт. Трафик провайдердин дарек диапазонунан чыгат, жана сайттар үй дарегиңиздин ордуна ошол даректи көрөт. Баалуулук ошондо, жана ошондуктан булут VPN сизге NAS бербейт: сиз чыгууну жылдырдыңыз, LANды эмес.
Сиз дагы эле конок тутумун, VPN кызматын жана анын эсептик маалыматтарын башкарасыз, ал эми провайдер гипервизорду жана физикалык тармакты башкарат, жана бул бөлүнүү түнкү саат 2де бир нерсе бузулганда маанилүү. Ачык endpoint тынымсыз сканерленет, ошондуктан башкаруу портун жабык кармаңыз, VPN портуна гана уруксат бериңиз жана график боюнча патчтаңыз. Коопсуздук топтору жана провайдердин өрт дубалдары ошол портко уруксат бериши керек, ал эми кээ бир булуттар инстанциядагы булак жана багыт текшерүүсүн жөндөбөсөңүз, кайра багытталган трафикти таштайт.
Кичине инстанция бир ууч клиентти камтыйт, бирок шифрлөө — CPU иши, ал эми кредиттери түгөнгөн burstable инстанция узак жүктөмдө бирдей эмес иштейт. Техникалык мүнөздөмө баракчасын эмес, чындыгында колдонгон жолуңузду караңыз.
Жазып койсо боло турган чечим
Жайгашууну кутудагы жапсырма эмес, тапшырма чечет. Үй LANындагы түзмөк керек болсо, эң арзан туура жооп — үйдөгү endpoint; булут кутусу кайтуу байланышын кургандан кийин гана иштейт. Башка ачык чыгуу керек болсо, жооп — булут, ал эми LAN суроосу такыр келип чыкпайт. Экөөнү тең каалоо мыйзамдуу, бирок бул эки endpoint, эки ачкыч топтому жана эки документтелген маршрут дегенди билдирет.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
Клиенттен ирети менен текшериңиз: кол алышуу, peer дареги, LAN хост, анан чыгуу IP. curl -s https://ifconfig.me интернет эмнени көрөрүн көрсөтөт, ал эми ip route get 192.168.1.20 endpoint эмнени ойлой турганын көрсөтөт. Чыгуу текшерүүсү өтүп, NAS текшерүүсү илинип турса, жайгашуу боюнча жообуңуз бар; клиенттеги AllowedIPsди өзгөртүү маршрут жаратпайт. 10.8.0.0/24, 192.168.1.0/24 сыяктуу бөлүнгөн сап LAN трафигин туннелде ошол маршрут чындыгында бар болгондо гана кармайт.