Пристап до домашен уред преку VPN за далечински пристап: пет порти

Комерцијалниот интернет-излезен VPN ја крие вашата адреса; тој не ве поврзува со вашиот сопствен дом. Пристапот до NAS или печатачот на домашна мрежа бара порта што се наоѓа на таа мрежа и клиент што гради тунел кон неа. Потоа пакетот мора да помине пет проверки, и секој нивен неуспех однадвор изгледа исто.

Порта 1: клиентот мора да го избере тунелот

Проверете дали префиксот на одредиштето навистина се насочува во тунелот кај клиентот. Профил со поделен тунел што испраќа само сопствената подмрежа на VPN ќе испрати 192.168.x.x директно од локалниот интерфејс, каде што не оди никаде. Гледајте ја табелата за насочување на клиентот, не името на профилот.

Ова е најчестиот неуспех кај телефонските клиенти, кои често стандардно испраќаат само DNS или само еден префикс. Ако патеката недостига, ракувањето може да биде совршено, а уредот сепак недостапен.

Пред да продолжите, потврдете дека адресата на базенот на клиентот и домашната подмрежа не се преклопуваат.

Порта 2: портата мора да проследува

VPN завршува на домаќин што мора да го проследи дешифрираниот пакет на LAN. За тоа е потребно овозможено IP проследување и политика на огнената страна што го дозволува текот од интерфејсот на VPN кон интерфејсот на LAN. На рутер уред тоа обично е вградено; на Linux кутија со strongSwan или WireGuard тоа се две поставки што луѓето ги забораваат. Проверете ги двете пред да ја тестирате услугата, бидејќи секоја сама дава исто истечување.

Тестирајте со фаќање на интерфејсот LAN, бидејќи пакет што никогаш не се појавува таму е или отфрлен или никогаш не е проследен.

Ова е различен неуспех од услуга што го одбива поврзувањето, и таа разлика штеди многу време. Држете ја дозволата тесна, ограничена на услугата и базенот на VPN, наместо на целата подмрежа.

Порта 3: патот на одговорот одлучува сѐ

Целта одговара на адресата на изворот што ја виде, која е или адресата на базенот на клиентот или портата, зависно од тоа дали преведувате. Ако стандардната порта на целта е домашниот рутер и тој рутер нема патека до базенот на VPN, одговорот излегува преку интернет и умира. Ова е класичната еднонасочна врска.

Постојат две легитимни решенија: додавање патека за базенот на LAN портата или source-NAT на VPN портата, за целта секогаш да ја гледа само адресата на портата. Второто е полесно и го губи оригиналниот идентитет на изворот.

Изберете едно намерно и запишете кое, бидејќи правилата на огнената страна и дневниците зависат од тоа. Упатството на strongSwan за проследување ја поминува Linux страната на таа одлука.

Порта 4: имиња и преклопување на префикси

Локалните имиња за откривање не ја преминуваат насочената граница, па уред што во домот се појавува како пријателско име може да биде невидлив преку тунелот. Обезбедете DNS за приватната зона или документирајте ја адресата. Кое и име да користите, тоа мора да се реши во нешто што далечинскиот клиент може да го насочи. Затоа уред може истовремено да биде достапен по адреса и невидлив по име.

Преклопувачките префикси се другата стапица: ако базенот на клиентот е 192.168.1.0/24 и домашната мрежа исто така, клиентот го третира одредиштето како локално и никогаш не го испраќа низ тунелот.

Пренумерирајте една страна, или користете базен од опсег со кој никогаш нема да се сретнете дома.

Порта 5: тестирајте од надвор од домот

Тестот од кујната не докажува ништо, бидејќи сообраќајот може никогаш да не излезе од LAN. Поврзете се од мобилен хотспот или друга мрежа, потоа поминете ги портите по ред: патека кај клиентот, фаќање на интерфејсот LAN, одговор на услугата, фаќање на одговорот и разрешување на имиња. Првата порта што не дава доказ е местото каде е работата.

Ако услугата одговара, а името не, имате DNS проблем, а не проблем со тунелот.

Чувајте ја работната конфигурација во белешка со базенот, патеката и изборот на NAT, бидејќи следната замена на рутерот ќе ги ресетира сите три.