Heem-VPN-Server géint Cloud-Server: wéien erreecht däin NAS?
Den Tunnel kënnt erop, awer den Heem-NAS bleift onereechbar. Wielt d’Plaz vum Endpunkt no der Ressource, déi s du musst beréieren, a préif dunn d’Route.
Den Tunnel kënnt erop, de Client weist e gréngen Punkt, an ssh 192.168.1.20 hängt nach bis den Timeout kënnt. Genau dat hunn ech erlieft, wéi ech eng kleng Cloud-Instanz gemiet an WireGuard drop installéiert hunn: Handshake gutt, DNS gutt, an den NAS op mengem Schreifdësch sou onereechbar wéi wann en um Mound wier. Um Tunnel war näischt falsch. Den Endpunkt stoung an engem Netz ouni Route bei mäin Haus. D’Plaz vum Endpunkt entscheet, wéi eng Netzwierker ugrenzen, also wielt se no der Ressource, déi s de fir d’éischt musst erreechen, a vergläich d’Hosting duerno.
En Tunnel erreecht nëmmen Netzwierker, déi den Endpunkt route kann
Eng VPN gëtt dengem Client eng Adress bannent dem Routing-Domän vum Endpunkt selwer. Wann de Client e Paket op 192.168.1.20 schéckt, muss den Endpunkt wëssen, wou et higeet. D’Tabell vun enger Cloud-VM kennt d’VPC-Subnetzer vum Provider; vun dengem LAN huet se ni héieren. Verbonnen an erreechbar si zwou verschidden Tatsaachen, an de meeschte Verwirrung tëscht Heem a Cloud kënnt dohier, datt een déi éischt als Beweis fir déi zweet hëlt.
Eng Kommando kläert et. Um Endpunkt ip route get 192.168.1.20 nennt entweder eng LAN-Schnittstell oder weist op d’Standardroute. Op enger Heemmaschinn ass d’Äntwert d’LAN-Säit. Op enger Cloud-Instanz verléisst de Paket Richtung Internet an stierft. net.ipv4.ip_forward=1 anzeschalten an eng MASQUERADE-Regel derbäizesetzen ännert dat net, well et näischt gëtt fir weiderzeleeden, bis eppes op der Heemsäit e Link an d’Cloud ofschléisst.
Den Heemfall huet eng zweet Halschent: de Wee zeréck. Pakete, déi de LAN duerch d’Tunnelkëscht verloossen, gi mat NAT behandelt, oder de LAN brauch eng statesch Route zréck an den Tunnel-Subnetz. Wann nëmmen eng Richtung funktionéiert, préif sysctl net.ipv4.conf.all.rp_filter. Streng Reverse-Path-Filterung verwërft Äntwerten, déi op enger anerer Schnittstell ukommen wéi d’Route virausgesot huet, an de Symptom gesäit genee wéi eng Firewall-Regel aus.
Lies de Symptom, ier s d’Konfiguratioun ufässt
Den Tunnel kënnt net op: Schlësselen, Endpunktadress oder e blockéierten UDP-Port. Tunnel erop, awer LAN-Hoste sinn doud: Plaz an Routing. Tunnel erop, awer Browsen ass doud: Weiderleedung, NAT oder DNS. Dat sinn dräi Schichten an dräi verschidden Iwwerpréiwungen, an eng Konfiguratioun, déi schonn richteg war, nei ze schreiwen kascht en Owend.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
D’Erreechbarkeet vum Heem vun bausse verdéngt eng eegen Iwwerpréiwung, well se entscheet, ob Hosting doheem iwwerhaapt méiglech ass. Vergläich d’WAN-Adress, déi däi Router mellt, mat der Adress, déi en externe Host gesäit. Wann se an 100.64.0.0/10 fält, oder déi zwou sech net eens sinn, s du bass hannert Carrier-Grade-NAT an et wäert ni eng Portweiderleedung funktionéieren. Déi richteg Optioune sinn e Relais, en Cloud-Link, deen aus dem Heem eraus telefnéiert, oder den Endpunkt verréckelen.
Wat Hosting doheem bréngt, a wat et kascht
Doheem ass déi eenzeg Plaz, déi standardméisseg am LAN läit, an dat ass de ganzen Grond, fir do e Server opzestellen. Apparater, déi nëmmen um lokale Segment äntweren, wéi Drécker an NAS-Admin-Säiten, déi net-lokal Subnetzer ofleechnen, funktionéieren ouni zousätzlech Routing. Dir bedreift och d’Maschinn, de Router an den Uplink selwer.
D’Käschte si physesch. Heem-Upload ass den Daach fir all Client gläichzäiteg, also kämpfen e Video-Urruff an eng Backup ëm déi selwecht Leitung. Stroum, Diskwear, Patches, eng dynamesch Adress, déi DDNS brauch, e Router, deen UDP no bannen weiderleede muss, a vläicht duebel NAT landen all op dir. Wat d’Leit iwwersprangen, ass d’Wiederherstellung: wann d’Këscht stierft, wärend s du fort bass, stierft deng eenzeg Strooss an d’Haus mat hir. Halt en zweet Apparat mat deene selwechte Schlësselen, oder op d’mannst e Plang fir physeschen Zougang.
Wann s de LAN-Zougang wëlls ouni d’Këscht doheem, bau e Link amplaz et virzeginn. Den Cloud-Endpunkt gëtt e Router: en Tunnel vun der Heemsäit mat AllowedIPs = 192.168.1.0/24 um Cloud-Peer, plus Weiderleedung an NAT op der Cloud-Këscht. Dem strongSwan seng Weiderleedungs-Guide geet duerch déi zweet Halschent vun där Astellung, an do scheetere meescht vun dësen Versich. De Heem-Peer muss elo u sinn, fir datt iergendeppes funktionéiert, also hues de eng Ofhängegkeet géint eng aner getosch an solls dat opschreiwen.
Fir wat en Cloud-Endpunkt wierklech do ass
En Cloud-Endpunkt ännert däin ëffentlechen Ausgang. Den Trafik verléisst d’Adressberäich vum Provider, a Säite gesinn déi Adress amplaz vun der Heemadress. Dat ass de Wäert, an dofir gëtt eng Cloud-VPN dir den NAS net: s de hues den Ausgang verréckelt, net de LAN.
Du bedreifs weider de Gaastsystem, de VPN-Service an seng Umeldungsdaten, wärend de Provider den Hypervisor an d’physescht Netz bedreift, an déi Deelung zielt, wann um 2 Auer nuets eppes futtiga geet. En ëffentlechen Endpunkt gëtt permanent gescannt, also halt de Management-Port zou, erlaab just de VPN-Port a patch no engem Plang. Sécherheetsgruppe a Firewalle vum Provider mussen dee Port erlaben, a verschidde Cloud wäerfen weidergeleeden Trafik ewech, wann s de Quell- an Zil-Préifung op der Instanz net upasst.
Eng kleng Instanz deckt eng Handvoll Clienten, awer Verschlësselung ass CPU-Aarbecht, an eng burstable Instanz, deenen hir Kreditter op sinn, behält sech ënner duerchgehender Laascht ongläichmässeg. Kuck op de Wee, deen s de wierklech benotzs, net op d’Spezifikatiounsblat.
Eng Entscheedung, déi s de kann opschreiwen
D’Aufgab entscheet d’Plaz, net d’Etikett op der Këscht. Wann s de en Apparat an dengem Heem-LAN brauchs, ass déi bëllegst richteg Äntwert en Endpunkt doheem; eng Cloud-Këscht funktionéiert eréischt, wann s de de Link zréck gebaut hues. Wann s de en aneren ëffentlechen Ausgang brauchs, ass Cloud d’Äntwert an d’LAN-Fro kënnt ni op. Béides wëllen ass legitim, awer et bedeit zwee Endpunkten, zwee Schlësselsets an zwou dokumentéiert Ruten.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
Iwwerpréif vum Client a Reiefolleg: Handshake, Peer-Adress, en LAN-Host, dunn d’Ausgangs-IP. curl -s https://ifconfig.me weist, wat den Internet gesäit, an ip route get 192.168.1.20 weist, wat den Endpunkt gleeft. Wann d’Ausgangspréifung duerchgeet an d’NAS-Préifung hängt, hues de d’Äntwert iwwer d’Plaz schonn; AllowedIPs um Client upassen zaubert keng Route. Eng gedeelt Linn wéi 10.8.0.0/24, 192.168.1.0/24 hält LAN-Trafik nëmmen dann am Tunnel, wann déi Route wierklech existéiert.