Mājas VPN serveris pret mākoņa serveri: kurš sasniedz jūsu NAS?
Tunelis paceļas, bet mājas NAS paliek nesasniedzams. Izvēlieties endpoint atrašanās vietu pēc resursa, kuram jāpiekļūst, un pēc tam pārbaudiet maršrutu.
Tunelis paceļas, klients rāda zaļu punktu, un ssh 192.168.1.20 joprojām karājas, līdz beidzas laiks. Tieši to piedzīvoju pēc tam, kad noīrēju nelielu mākoņa instanci un uzliku tai WireGuard: rokasspiediens kārtībā, DNS kārtībā, un NAS uz mana galda tikpat nesasniedzams kā uz Mēness. Ar tuneli viss bija kārtībā. Endpoint atradās tīklā, kuram nav maršruta uz manām mājām. Endpoint atrašanās vieta nosaka, kuri tīkli ir blakus, tāpēc izvēlieties to pēc resursa, kuram jāpiekļūst vispirms, un hostingu salīdziniet otrajā vietā.
Tunelis sasniedz tikai tos tīklus, kurus endpoint spēj maršrutēt
VPN piešķir klientam adresi endpoint paša maršrutēšanas domēnā. Kad klients sūta paketi uz 192.168.1.20, endpoint ir jāzina, kur tā iet. Mākoņa VM tabula pārzina pakalpojumu sniedzēja VPC apakštīklus; par jūsu LAN tā nekad nav dzirdējusi. Savienots un sasniedzams ir divi dažādi fakti, un lielākā daļa mājas un mākoņa sajaukuma rodas, pirmo uzskatot par otrā pierādījumu.
Viena komanda to izšķir. Endpointā ip route get 192.168.1.20 vai nu nosauc LAN saskarni, vai norāda uz noklusējuma maršrutu. Mājas mašīnā atbilde ir LAN puse. Mākoņa instancē pakete iziet uz internetu un iet bojā. Ieslēgšana net.ipv4.ip_forward=1 un MASQUERADE noteikuma pievienošana to nemaina, jo nav ko pārsūtīt, kamēr kaut kas mājas pusē nepabeidz savienojumu uz mākoni.
Mājas gadījumam ir otrā puse: atgriešanās ceļš. Paketes, kas atstāj LAN caur tuneļa kasti, tiek NATotas, vai LAN nepieciešams statisks maršruts atpakaļ uz tuneļa apakštīklu. Kad darbojas tikai viens virziens, pārbaudiet sysctl net.ipv4.conf.all.rp_filter. Stingra reversā ceļa filtrēšana izmet atbildes, kas ierodas citā saskarnē, nekā maršruts paredz, un simptoms izskatās tieši kā ugunsmūra noteikums.
Izlasiet simptomu pirms konfigurācijas aizskaršanas
Tunelis neveidojas: atslēgas, endpoint adrese vai bloķēts UDP ports. Tunelis uz augšu, bet LAN resursdatori miruši: izvietojums un maršrutēšana. Tunelis uz augšu, bet pārlūkošana mirusi: pārsūtīšana, NAT vai DNS. Tie ir trīs slāņi un trīs dažādas pārbaudes, un jau pareizas konfigurācijas pārrakstīšana izšķiež vakaru.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
Ienākošā sasniedzamība no mājām ir pelnījusi atsevišķu pārbaudi, jo tā nosaka, vai hostings mājās vispār ir iespējams. Salīdziniet WAN adresi, ko ziņo maršrutētājs, ar adresi, ko redz ārējs resursdators. Ja tā iekrīt 100.64.0.0/10 vai abas nesakrīt, jūs esat aiz operatora NAT un neviens porta pārsūtījums nekad nefuncionēs. Reālās iespējas ir relejs, mākoņa saite, kas zvana no mājām uz āru, vai endpoint pārvietošana.
Ko hostings mājās dod un cik tas maksā
Mājas ir vienīgā vieta, kas pēc noklusējuma atrodas LAN iekšpusē, un tas ir viss iemesls turēt tur serveri. Ierīces, kas atbild tikai lokālajā segmentā, piemēram, printeri un NAS administrēšanas lapas, kas noraida nelokālus apakštīklus, darbojas bez papildu maršrutēšanas. Jūs pats pārvaldāt arī mašīnu, maršrutētāju un augšupielādes līniju.
Izmaksas ir fiziskas. Mājas augšupielāde ir griesti visiem klientiem vienlaikus, tāpēc videozvans un dublējums sacenšas par vienu un to pašu cauruli. Elektrība, diska nodilums, ielāpi, dinamiska adrese, kurai vajag DDNS, maršrutētājs, kuram jāpārsūta UDP uz iekšu, un iespējams dubults NAT — viss krīt uz jums. Tas, ko cilvēki izlaiž, ir atjaunošana: ja kaste mirst, kamēr jūs esat prom, jūsu vienīgais ceļš uz mājām mirst kopā ar to. Turiet otru ierīci ar tām pašām atslēgām vai vismaz fiziskas piekļuves plānu.
Ja gribat LAN piekļuvi bez kastes mājās, būvējiet saiti, nevis izliecieties. Mākoņa endpoint kļūst par maršrutētāju: tunelis no mājas puses ar AllowedIPs = 192.168.1.0/24 mākoņa peer, plus pārsūtīšana un NAT mākoņa kastē. strongSwan pārsūtīšanas rokasgrāmata iziet cauri šīs konfigurācijas atgriešanās pusei, un tieši tur lielākā daļa šo mēģinājumu cieš neveiksmi. Mājas peer tagad ir jābūt augšā, lai kaut kas darbotos, tāpēc jūs vienu atkarību samainījāt pret citu un to vajadzētu pierakstīt.
Kam mākoņa endpoint patiesībā ir paredzēts
Mākoņa endpoint maina jūsu publisko izeju. Satiksme iziet no pakalpojumu sniedzēja adrešu diapazona, un vietnes redz šo adresi, nevis mājas adresi. Tā ir vērtība, un tāpēc mākoņa VPN nedod jums NAS: jūs pārvietojāt izeju, nevis LAN.
Jūs joprojām pārvaldāt viesa sistēmu, VPN pakalpojumu un tā akreditācijas datus, kamēr pakalpojumu sniedzējs pārvalda hipervizoru un fizisko tīklu, un šis dalījums ir svarīgs, kad kaut kas salūzt 2 naktī. Publisks endpoint tiek pastāvīgi skenēts, tāpēc turiet pārvaldības portu aizvērtu, atļaujiet tikai VPN portu un lieciet ielāpus pēc grafika. Drošības grupas un pakalpojumu sniedzēja ugunsmūriem jāatļauj šis ports, un daži mākoņi izmet pārsūtīto satiksmi, ja instancē neparegulējat avota un galamērķa pārbaudi.
Maza instance nosedz sauju klientu, bet šifrēšana ir CPU darbs, un burstable instance, kurai beigušies kredīti, uzvedas nevienmērīgi ilgstošas slodzes laikā. Skatieties uz ceļu, ko patiešām lietojat, nevis uz specifikācijas lapu.
Lēmums, ko varat pierakstīt
Izvietojumu nosaka uzdevums, nevis etiķete uz kastes. Ja jums vajag ierīci mājas LAN, lētākā pareizā atbilde ir endpoint mājās; mākoņa kaste darbojas tikai pēc tam, kad esat uzbūvējis atgriešanās saiti. Ja jums vajag citu publisku izeju, atbilde ir mākonis un LAN jautājums vispār neuznāk. Gribēt abus ir likumīgi, bet tas nozīmē divus endpointus, divus atslēgu komplektus un divus dokumentētus maršrutus.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
Pārbaudiet no klienta pēc kārtas: rokasspiediens, peer adrese, LAN resursdators, tad izejas IP. curl -s https://ifconfig.me rāda, ko redz internets, un ip route get 192.168.1.20 rāda, ko domā endpoint. Kad izejas pārbaude iztur un NAS pārbaude karājas, atbilde par izvietojumu jums jau ir; AllowedIPs maiņa klientā maršrutu neradīs. Sadalīta rinda, piemēram, 10.8.0.0/24, 192.168.1.0/24 tur LAN satiksmi tunelī tikai tad, kad šis maršruts patiešām pastāv.