En Apparat doheem iwwer eng Fernzougriffs-VPN erreechen: fënnef Paarten

Eng kommerziell Internet-Ausgangs-VPN verstoppt Är Adress; si verbënnt Iech net mat Ärem eegenen Haus. Fir den NAS oder den Drécker op engem Heemnetzwierk z'erreechen, brauch een eng Paart déi op deem Netzwierk sëtzt an e Client deen en Tunnel dohinner baut. Duerno muss de Pak fënnef Kontrollen passéieren, an jidderee vun hinne dee feelt gesäit vun dobaussen d’selwecht aus.

Paart 1: de Client muss den Tunnel auswielen

Kuckt no ob de Bestëmmungspräfix op de Client wierklech an den Tunnel gerout gëtt. En Split-Tunnel-Profil deen nëmmen den eegene Subnet vun der VPN schéckt, schéckt 192.168.x.x direkt aus der lokaler Interface eraus, wou et néierens hikënnt. Kuckt an d’Routingtabell vum Client, net an den Numm vum Profil.

Dat ass de heefegsten Ausfall bei Telefonsclients, déi dacks standardméisseg nëmmen DNS oder nëmmen ee Präfix schécken. Wa d’Route feelt, kann den Handshake perfekt sinn an den Apparat trotzdem net erreechbar.

Bestätegt éier Dir weidergitt, datt d’Pooladress vum Client an de HeemSubnet sech net iwwerschneiden.

Paart 2: d’Paart muss weiderleeden

D’VPN endet op engem Host deen de decryptéierte Pak an d’LAN muss weiderleeden. Dofir muss IP-Weiderleedung ageschalt sinn an eng Firewallpolitik de Flux vun der VPN-Interface op d’LAN-Interface erlaben. Op engem Routerapparat ass dat meeschtens agebaut; op enger Linux-Këscht mat strongSwan oder WireGuard sinn et zwou Astellungen déi d’Leit vergiessen. Kontrolléiert béid éier Dir den Service testt, well jiddwereng eleng deeselwechten Timeout gëtt.

Testt mat enger Opnam op der LAN-Interface, well e Pak deen do ni erschéngt gouf verworf oder ni weidergeleet.

Dat ass en aneren Ausfall wéi e Service deen d’Verbindung refuséiert, an den Ënnerscheed spuert vill Zäit. Halt d’Erlaabnis schmuel, limitéiert op de Service an de VPN-Pool amplaz vum ganzen Subnet.

Paart 3: den Äntwertswee entscheet alles

D’Zil äntwert op d’Quelladress déi et gesinn huet, dat ass entweder d’Pooladress vum Client oder d’Paart, jee nodeem ob Dir iwwersetzt. Wann d’Standardpaart vum Zil de Heemrouter ass an dee Router keng Route op de VPN-Pool huet, verléisst d’Äntwert iwwer den Internet a stierft. Dat ass déi klassesch Eenrichtungverbindung.

Et gëtt zwou legitim Léisungen: eng Route fir de Pool op der LAN-Paart derbäisetzen, oder source-NAT op der VPN-Paart maachen, sou datt d’Zil ëmmer nëmmen d’Paartadress gesäit. Déi zweet ass méi einfach a verléiert d’Originalquellidentitéit.

Wielt eng bewosst aus a schreift op wéi eng, well Firewallregeien a Logs dovun ofhänken. Den strongSwan-Weiderleedungsguide geet d’Linux-Säit vun där Entscheedung duerch.

Paart 4: Nimm a Präfix-Iwwerschneidung

Lokal Entdeckungsnimm iwwerschreiden keng gerout Grenz, dofir kann en Apparat deen am Haus als frëndlechen Numm erschéngt iwwer den Tunnel onsichtbar sinn. Stellt DNS fir d’privat Zone zur Verfügung, oder dokumentéiert d’Adress. Wat fir en Numm Dir och benotzt, en muss zu eppes opléisen wat de Fernclient route kann. Dofir kann en Apparat gläichzäiteg iwwer d’Adress erreechbar an iwwer den Numm onsichtbar sinn.

Iwwerschneidend Präfixe sinn déi aner Fall: wann de Clientpool 192.168.1.0/24 ass an d’Heemnetzwierk och, behandelt de Client d’Zil als lokal a schéckt et ni duerch den Tunnel.

Numméiert eng Säit nei, oder benotzt e Pool aus engem Beräich deem Dir doheem ni begéint.

Paart 5: testt vun ausserhalb vum Haus

En Test aus der Kichen beweist näischt, well den Traffic d’LAN vläicht ni verléisst. Verbënnt Iech vun engem mobilen Hotspot oder engem aneren Netzwierk, a geet dann d’Paarten an der Rei duerch: Route um Client, Opnam op der LAN-Interface, Äntwert vum Service, Opnam vun der Äntwert an Nummopléisung. Déi éischt Paart déi kee Beweis liwwert ass wou d’Aarbecht läit.

Wann de Service äntwert awer den Numm net, hutt Dir en DNS-Problem an net en Tunnelproblem.

Halt déi funktionéierend Konfiguratioun an enger Notiz mat dem Pool, der Route an der NAT-Wiel, well den nächsten Routerwiessel alleguert zwou zerécksetzt.