Sasniegt mājas ierīci caur attālinātās piekļuves VPN: pieci vārti

Komerciāls interneta izejas VPN slēpj jūsu adresi; tas nesavieno jūs ar jūsu pašu mājām. Lai sasniegtu NAS vai printeri mājas tīklā, vajag vārteju, kas atrodas tajā tīklā, un klientu, kas būvē tuneli uz to. Tad paketei jāiziet piecas pārbaudes, un jebkuras no tām neveiksme no ārpuses izskatās vienādi.

1. vārti: klientam jāizvēlas tunelis

Pārbaudiet, vai galamērķa prefikss klientā tiešām tiek maršrutēts tunelī. Split-tunnel profils, kas sūta tikai paša VPN apakštīklu, nosūtīs 192.168.x.x tieši no vietējās saskarnes, kur tas nekur nenokļūs. Skatiet klienta maršrutēšanas tabulu, nevis profila nosaukumu.

Šī ir visbiežākā kļūda tālruņu klientos, kuri bieži pēc noklusējuma sūta tikai DNS vai tikai vienu prefiksu. Ja maršruts trūkst, rokasspiediens var būt nevainojams, un ierīce joprojām nav sasniedzama.

Pirms turpināt, apstipriniet, ka klienta baseina adrese un mājas apakštīkls nepārklājas.

2. vārti: vārtejai jāpārsūta

VPN beidzas uz resursdatora, kam atšifrētā pakete jāpārsūta uz LAN. Tam vajadzīga iespējota IP pārsūtīšana un ugunsmūra politika, kas atļauj plūsmu no VPN saskarnes uz LAN saskarni. Maršrutētājā tas parasti ir iebūvēts; Linux kastē ar strongSwan vai WireGuard tie ir divi iestatījumi, ko cilvēki aizmirst. Pārbaudiet abus pirms pakalpojuma testēšanas, jo katrs atsevišķi dod to pašu taimautu.

Testējiet ar uztveršanu LAN saskarnē, jo pakete, kas tur nekad neparādās, tika izmesta vai nekad netika pārsūtīta.

Šī ir cita neveiksme nekā pakalpojums, kas atsaka savienojumu, un šī atšķirība ietaupa daudz laika. Turiet atļauju šauru, ierobežotu ar pakalpojumu un VPN baseinu, nevis visu apakštīklu.

3. vārti: atbildes ceļš izšķir visu

Mērķis atbild uz redzēto avota adresi, kas ir vai nu klienta baseina adrese, vai vārteja, atkarībā no tā, vai tulkojat. Ja mērķa noklusējuma vārteja ir mājas maršrutētājs un tam nav maršruta uz VPN baseinu, atbilde iziet caur internetu un mirst. Šis ir klasiskais vienvirziena savienojums.

Ir divi likumīgi risinājumi: pievienot maršrutu baseinam LAN vārtejā vai veikt source-NAT VPN vārtejā, lai mērķis vienmēr redzētu tikai vārtejas adresi. Otrais ir vienkāršāks un zaudē sākotnējo avota identitāti.

Izvēlieties vienu apzināti un pierakstiet, kuru, jo ugunsmūra noteikumi un žurnāli no tā ir atkarīgi. strongSwan pārsūtīšanas rokasgrāmata iziet cauri šī lēmuma Linux pusei.

4. vārti: nosaukumi un prefiksu pārklāšanās

Vietējie atklāšanas nosaukumi nešķērso maršrutētu robežu, tāpēc ierīce, kas mājās parādās kā draudzīgs nosaukums, var būt neredzama caur tuneli. Nodrošiniet DNS privātajai zonai vai dokumentējiet adresi. Kādu nosaukumu izmantotu, tam jāatrisinās kaut kam, ko attālinātais klients var maršrutēt. Tāpēc ierīce var būt sasniedzama pēc adreses un neredzama pēc nosaukuma vienlaikus.

Pārklājošie prefiksi ir otrs slazds: ja klienta baseins ir 192.168.1.0/24 un mājas tīkls arī, klients galamērķi uzskata par vietēju un nekad nesūta to caur tuneli.

Pārnumurējiet vienu pusi vai izmantojiet baseinu no diapazona, ar kuru mājās nekad nesaskarsities.

5. vārti: testējiet ārpus mājām

Tests no virtuves neko nepierāda, jo datplūsma var nekad neiziet no LAN. Pieslēdzieties no mobilā hotspot vai cita tīkla, tad ejiet cauri vārtiem pēc kārtas: maršruts klientā, uztveršana LAN saskarnē, pakalpojuma atbilde, atbildes uztveršana un nosaukumu atrisināšana. Pirmie vārti, kas nesniedz pierādījumus, ir vieta, kur darbs.

Ja pakalpojums atbild, bet nosaukums ne, jums ir DNS problēma, nevis tuneļa problēma.

Saglabājiet strādājošo konfigurāciju piezīmē ar baseinu, maršrutu un NAT izvēli, jo nākamā maršrutētāja nomaiņa atiestatīs visus trīs.