Гэрийн VPN сервер эсвэл үүлэн сервер: аль нь таны NAS-д хүрэх вэ?
Туннель өргөгддөг ч гэрийн NAS хүрэхгүй хэвээр байна. Эхлээд хүрэх ёстой нөөцөөр endpoint-ийн байршлыг сонгоод, дараа нь маршрутыг шалгана уу.
Туннель өргөгдөж, клиент ногоон цэг харуулж, ssh 192.168.1.20 хугацаа дуусах хүртэл өлгөөтэй хэвээр байна. Жижиг үүлэн инстанс түрээсэлж, дээр нь WireGuard суулгасны дараа яг үүнийг мэдэрсэн: гар барилт хэвийн, DNS хэвийн, харин ширээн дээрх NAS саран дээр байгаа мэт хүрэхгүй. Туннельд ямар ч алдаа байгаагүй. Endpoint миний гэр рүү маршрутгүй сүлжээнд байрлаж байсан. Endpoint-ийн байршил аль сүлжээнүүд хөрш байхыг тодорхойлдог тул эхлээд хүрэх нөөцөөр нь сонгоод, хостингийг хоёрдугаарт харьцуул.
Туннель зөвхөн endpoint чиглүүлж чадах сүлжээнд хүрнэ
VPN клиентэд endpoint-ийн өөрийн чиглүүлэлтийн домайн дотор хаяг өгдөг. Клиент 192.168.1.20 руу пакет илгээхэд endpoint түүнийг хаашаа явахыг мэдэх ёстой. Үүлэн VM-ийн хүснэгт нийлүүлэгчийн VPC дэд сүлжээг мэддэг; таны LAN-ыг хэзээ ч сонсоогүй. Холбогдсон ба хүрэх боломжтой нь хоёр өөр баримт бөгөөд гэр ба үүлний хоорондын төөрөгдлийн ихэнх нь эхнийхийг хоёр дахьын баталгаа гэж үзэхээс үүдэлтэй.
Нэг команд үүнийг шийднэ. Endpoint дээр ip route get 192.168.1.20 нь LAN интерфэйсийг нэрлэх эсвэл анхдагч маршрут руу заана. Гэрийн машин дээр хариулт нь LAN тал. Үүлэн инстанс дээр пакет интернэт рүү гарч үхнэ. net.ipv4.ip_forward=1 асаах, MASQUERADE дүрэм нэмэх нь үүнийг өөрчлөхгүй, учир нь гэрийн талаас ямар нэг зүйл үүл рүү холбоосыг дуусгах хүртэл дамжуулах зүйл байхгүй.
Гэрийн тохиолдолд хоёр дахь хагас бий: буцах зам. Туннелийн хайрцгаар LAN-аас гарч буй пакетууд NAT-лагдана, эсвэл LAN-д туннелийн дэд сүлжээ рүү статик маршрут хэрэгтэй. Зөвхөн нэг чиглэл ажиллаж байвал шалгана уу: sysctl net.ipv4.conf.all.rp_filter. Хатуу урвуу замын шүүлтүүр нь маршрутын таамаглаж буйгаас өөр интерфэйс дээр ирсэн хариуг хаядаг бөгөөд шинж тэмдэг нь галт хананы дүрэмтэй яг адилхан харагдана.
Тохиргоонд хүрэхээс өмнө шинж тэмдгийг уншаарай
Туннель үүсэхгүй: түлхүүрүүд, endpoint хаяг эсвэл хаагдсан UDP порт. Туннель өргөгдсөн ч LAN хост үхсэн: байршил ба чиглүүлэлт. Туннель өргөгдсөн ч хөтөлбөр үхсэн: дамжуулалт, NAT эсвэл DNS. Эдгээр нь гурван давхарга ба гурван өөр шалгалт бөгөөд аль хэдийн зөв тохиргоог дахин бичих нь нэг оройг үрэх юм.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
Гэрээс ирэх хүртээмж тусдаа шалгалт хүртэх ёстой, учир нь гэрт хостинг хийх боломжтой эсэхийг энэ шийднэ. Таны чиглүүлэгчийн мэдээлдэг WAN хаягийг гаднах хост харж буй хаягтай харьцуул. Хэрэв энэ нь 100.64.0.0/10 дотор орвол, эсвэл хоёр нь таарахгүй бол та carrier-grade NAT-ийн ард байгаа бөгөөд ямар ч порт дамжуулалт хэзээ ч ажиллахгүй. Бодит сонголтууд нь реле, гэрээс гадагш залгадаг үүлэн холбоос, эсвэл endpoint-ийг зөөх.
Гэрийн хостинг юу өгдөг, хэр их зардалтай
Гэр бол анхдагчаар LAN дотор байрладаг цорын ганц байршил бөгөөд серверийг тэнд байрлуулах бүх шалтгаан нь энэ юм. Зөвхөн локал сегментэд хариулдаг төхөөрөмжүүд, жишээлбэл принтерүүд болон локал бус дэд сүлжээгээс татгалздаг NAS-ийн админ хуудсууд нэмэлт чиглүүлэлтгүйгээр ажилладаг. Машин, чиглүүлэгч, дээд холбоосыг та өөрөө удирдана.
Зардал нь биет юм. Гэрийн байршуулалт бүх клиентийн нэгэн зэрэг дээд хязгаар тул видео дуудлага болон нөөц хуулбар нэг хоолойн төлөө өрсөлдөнө. Цахилгаан, дискний элэгдэл, нөхөөс, DDNS шаарддаг динамик хаяг, UDP-г дотогш дамжуулах чиглүүлэгч, магадгүй давхар NAT — бүгд танд бууна. Хүмүүсийн алгасдаг зүйл бол сэргээлт: хэрэв таныг байхгүйд хайрцаг үхвэл гэр рүү хүрэх цорын ганц зам чинь хамт үхнэ. Ижил түлхүүртэй хоёр дахь төхөөрөмж, эсвэл ядаж биет хандалтын төлөвлөгөө хадгал.
Гэрт хайрцаггүйгээр LAN хандалт хүсвэл дүр үзүүлэхийн оронд холбоос барь. Үүлэн endpoint чиглүүлэгч болно: гэрийн талаас AllowedIPs = 192.168.1.0/24 бүхий туннелийг үүлэн peer дээр, нэмээд үүлэн хайрцагт дамжуулалт ба NAT. strongSwan-ы дамжуулалтын гарын авлага тэр тохиргооны буцах хагасыг тайлбарладаг бөгөөд эдгээр оролдлогын ихэнх нь яг тэнд бүтэлгүйтдэг. Гэрийн peer одоо ямар нэг зүйл ажиллахын тулд өргөгдсөн байх ёстой, тиймээс нэг хамаарлыг нөгөөгөөр сольсон тул үүнийг бичиж үлдээх хэрэгтэй.
Үүлэн endpoint үнэндээ юунд зориулагдсан бэ
Үүлэн endpoint таны нийтийн гарцыг өөрчилдөг. Трафик нийлүүлэгчийн хаягийн мужаас гарч, сайтууд гэрийн хаягийн оронд тэр хаягийг харна. Үнэ цэнэ нь тэнд бөгөөд үүлэн VPN танд NAS өгдөггүй шалтгаан нь ч мөн адил: та гарцыг зөөсөн, LAN-ыг биш.
Та зочны систем, VPN үйлчилгээ болон түүний итгэмжлэлийг үргэлжлүүлэн ажиллуулж, нийлүүлэгч гипервизор болон биет сүлжээг ажиллуулдаг бөгөөд шөнийн 2 цагт ямар нэг зүйл эвдрэхэд энэ хуваарилалт чухал. Нийтийн endpoint байнга сканерлагддаг тул удирдлагын портыг хаалттай байлгаж, зөвхөн VPN портыг зөвшөөрч, хуваарийн дагуу нөхөөс хий. Аюулгүй байдлын бүлэг болон нийлүүлэгчийн галт хана тэр портыг зөвшөөрөх ёстой бөгөөд зарим үүл инстанс дээр эх үүсвэр, очих газрын шалгалтыг тохируулахгүй бол дамжуулсан трафикийг хаядаг.
Жижиг инстанс цөөн клиентийг хамардаг ч шифрлэлт нь CPU-ийн ажил бөгөөд кредитээ барсан burstable инстанс тогтмол ачаалалд жигд бус ажилладаг. Техникийн үзүүлэлтийн хуудас биш, таны бодитоор ашигладаг замыг хар.
Бичиж болох шийдвэр
Байршлыг хайрцаг дээрх шошго биш, ажил шийднэ. Хэрэв танд гэрийн LAN дээр төхөөрөмж хэрэгтэй бол хамгийн хямд зөв хариулт нь гэрт endpoint байрлуулах; үүлэн хайрцаг нь буцах холбоосыг барьсны дараа л ажиллана. Хэрэв өөр нийтийн гарц хэрэгтэй бол хариулт нь үүл бөгөөд LAN-ы асуулт огт гарахгүй. Хоёуланг хүсэх нь хууль ёсны боловч энэ нь хоёр endpoint, хоёр түлхүүрийн багц, хоёр баримтжуулсан маршрут гэсэн үг.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
Клиентээс дарааллаар шалга: гар барилт, peer хаяг, LAN хост, дараа нь гарцын IP. curl -s https://ifconfig.me интернэт юу харж байгааг харуулж, ip route get 192.168.1.20 endpoint юу гэж бодож байгааг харуулна. Гарцын шалгалт давж, NAS-ийн шалгалт өлгөөтэй байвал байршлын хариулт танд аль хэдийн бий; клиент дээр AllowedIPs өөрчлөх нь маршрут үүсгэхгүй. 10.8.0.0/24, 192.168.1.0/24 мэтийн хуваагдсан мөр нь LAN трафикийг туннельд зөвхөн тэр маршрут үнэхээр байгаа үед барина.