Pasiekti namų įrenginį per nuotolinės prieigos VPN: penki vartai

Komercinis interneto išėjimo VPN slepia jūsų adresą; jis nesusieja jūsų su jūsų pačių namais. Norint pasiekti NAS ar spausdintuvą namų tinkle, reikia šliuzo, esančio tame tinkle, ir kliento, kuris stato tunelį į jį. Tada paketas turi praeiti penkis patikrinimus, ir bet kurio iš jų nesėkmė iš išorės atrodo taip pat.

Vartai 1: klientas turi pasirinkti tunelį

Patikrinkite, ar paskirties prefiksas tikrai nukreipiamas į tunelį kliente. Split-tunnel profilis, siunčiantis tik pačiam VPN priklausantį potinklį, išsiųs 192.168.x.x tiesiai iš vietinės sąsajos, kur jis niekur nenuėis. Žiūrėkite į kliento maršrutizavimo lentelę, o ne į profilio pavadinimą.

Tai dažniausia telefono klientų klaida; jie dažnai pagal nutylėjimą siunčia tik DNS arba tik vieną prefiksą. Jei maršruto nėra, rankos paspaudimas gali būti tobulas, o įrenginys vis tiek nepasiekiamas.

Prieš tęsdami patvirtinkite, kad kliento baseino adresas ir namų potinklis nesutampa.

Vartai 2: šliuzas turi persiųsti

VPN baigiasi hoste, kuris turi persiųsti iššifruotą paketą į LAN. Tam reikia įjungto IP persiuntimo ir ugniasienės taisyklių, leidžiančių srautą iš VPN sąsajos į LAN sąsają. Maršrutizatoriuje tai paprastai įmontuota; Linux dėžėje su strongSwan ar WireGuard tai du nustatymai, kuriuos žmonės pamiršta. Patikrinkite abu prieš testuodami paslaugą, nes kiekvienas atskirai duoda tą pačią laukimo trukmę.

Testuokite su užfiksavimu LAN sąsajoje, nes paketas, kuris ten niekada nepasirodo, buvo numestas arba niekada nepersiųstas.

Tai kitokia nesėkmė nei paslauga, atmetanti ryšį, ir šis skirtumas sutaupo daug laiko. Laikykite leidimą siaurą, apribotą paslauga ir VPN baseinu, o ne visu potinkliu.

Vartai 3: atsakymo kelias nulemia viską

Taikinys atsako į matytą šaltinio adresą, kuris yra arba kliento baseino adresas, arba šliuzas, priklausomai nuo to, ar verčiate. Jei taikinio numatytasis šliuzas yra namų maršrutizatorius ir tas maršrutizatorius neturi maršruto į VPN baseiną, atsakymas išeina per internetą ir miršta. Tai klasikinis vienkryptis ryšys.

Yra du teisėti sprendimai: pridėti maršrutą baseinui LAN šliuze, arba atlikti source-NAT VPN šliuze, kad taikinys visada matytų tik šliuzo adresą. Antrasis paprastesnis ir praranda pirminį šaltinio tapatumą.

Pasirinkite vieną sąmoningai ir užsirašykite kurį, nes ugniasienės taisyklės ir žurnalai nuo to priklauso. strongSwan persiuntimo vadovas apžvelgia šio sprendimo Linux pusę.

Vartai 4: pavadinimai ir prefiksų sutapimas

Vietiniai aptikimo vardai neperžengia maršrutizuotos ribos, todėl įrenginys, kuris namuose rodomas draugišku vardu, gali būti nematomas per tunelį. Suteikite DNS privačiai zonai arba dokumentuokite adresą. Kokį vardą naudotumėte, jis turi išspręsti į kažką, ką nuotolinis klientas gali maršrutizuoti. Todėl įrenginys gali būti pasiekiamas adresu ir nematomas vardu tuo pačiu metu.

Sutampantys prefiksai yra kita spąstai: jei kliento baseinas yra 192.168.1.0/24 ir namų tinklas taip pat, klientas paskirties vietą laiko vietine ir niekada nesiunčia jos per tunelį.

Pernumeruokite vieną pusę arba naudokite baseiną iš diapazono, kurio namuose niekada nesusidursite.

Vartai 5: testuokite už namų ribų

Testas iš virtuvės nieko neįrodo, nes srautas gali niekada nepalikti LAN. Prisijunkite iš mobiliojo hotspot ar kito tinklo, tada eikite per vartus iš eilės: maršrutas kliente, užfiksavimas LAN sąsajoje, paslaugos atsakymas, atsakymo užfiksavimas ir vardų sprendimas. Pirmieji vartai, neduodantys įrodymų, yra vieta, kur darbas.

Jei paslauga atsako, o vardas ne, turite DNS problemą, o ne tunelio problemą.

Laikykite veikiančią konfigūraciją užraše su baseinu, maršrutu ir NAT pasirinkimu, nes kitas maršrutizatoriaus keitimas atstatys visus tris.