होम VPN सर्व्हर विरुद्ध क्लाउड सर्व्हर: तुमच्या NAS पर्यंत कोण पोहोचते?
टनेल उभी राहते, पण घरातील NAS अगम्य राहते. ज्या संसाधनाला प्रथम स्पर्श करायचे आहे त्यानुसार endpoint चे स्थान निवडा, नंतर मार्ग तपासा.
टनेल उभी राहते, क्लायंट हिरवा बिंदू दाखवतो, आणि ssh 192.168.1.20 तरीही टाइमआउट होईपर्यंत लटकत राहते. छोटी क्लाउड इन्स्टन्स भाड्याने घेऊन त्यावर WireGuard बसवल्यानंतर मला नेमके हेच अनुभवले: हँडशेक ठीक, DNS ठीक, आणि माझ्या टेबलावरील NAS चंद्रावर असल्यासारखेच अगम्य. टनेलमध्ये काहीच दोष नव्हता. Endpoint अशा नेटवर्कमध्ये होते ज्याचा माझ्या घरापर्यंत मार्ग नव्हता. Endpoint चे स्थान कोणती नेटवर्के शेजारी आहेत हे ठरवते, म्हणून ते प्रथम स्पर्श करायच्या संसाधनानुसार निवडा आणि होस्टिंगची तुलना नंतर करा.
टनेल फक्त त्या नेटवर्कपर्यंत पोहोचते ज्यांना endpoint मार्ग देऊ शकते
VPN तुमच्या क्लायंटला endpoint च्या स्वतःच्या राउटिंग डोमेनमध्ये पत्ता देते. क्लायंट 192.168.1.20 वर पॅकेट पाठवतो तेव्हा endpoint ला ते कुठे जाते हे माहीत असले पाहिजे. क्लाउड VM च्या तक्त्याला पुरवठादाराचे VPC सबनेट माहीत आहेत; तुमच्या LAN बद्दल त्याने कधीच ऐकले नाही. जोडलेले आणि पोहोचण्यायोग्य या दोन वेगळ्या गोष्टी आहेत, आणि घर विरुद्ध क्लाउडचा बहुतेक गोंधळ पहिल्याला दुसऱ्याचा पुरावा मानण्यातून येतो.
एक आदेश हे ठरवतो. Endpoint वर ip route get 192.168.1.20 एकतर LAN इंटरफेस नाव देते किंवा डीफॉल्ट मार्गाकडे निर्देश करते. घरच्या मशीनवर उत्तर LAN बाजू आहे. क्लाउड इन्स्टन्सवर पॅकेट इंटरनेटकडे निघून मरते. net.ipv4.ip_forward=1 सुरू करणे आणि MASQUERADE नियम जोडणे हे बदलत नाही, कारण घराच्या बाजूने काही क्लाउडमध्ये दुवा संपवेपर्यंत पुढे पाठवण्यासाठी काहीच नाही.
घरच्या प्रकरणाचा दुसरा अर्धा भाग आहे: परतीचा मार्ग. टनेलच्या खोक्यातून LAN सोडणारे पॅकेट NAT होतात, किंवा LAN ला टनेल सबनेटकडे स्थिर मार्ग हवा असतो. फक्त एक दिशा चालत असेल तर तपासा sysctl net.ipv4.conf.all.rp_filter. कडक रिव्हर्स-पाथ फिल्टरिंग मार्ग अपेक्षित असलेल्यापेक्षा वेगळ्या इंटरफेसवर येणारी उत्तरे टाकून देते, आणि लक्षण फायरवॉल नियमासारखेच दिसते.
कॉन्फिगला हात लावण्यापूर्वी लक्षण वाचा
टनेल तयार होत नाही: किल्ल्या, endpoint पत्ता किंवा रोखलेला UDP पोर्ट. टनेल वर पण LAN होस्ट मृत: स्थान आणि मार्ग. टनेल वर पण ब्राउझिंग मृत: फॉरवर्डिंग, NAT किंवा DNS. हे तीन स्तर आणि तीन वेगळ्या तपासण्या आहेत, आणि आधीच बरोबर असलेले कॉन्फिग पुन्हा लिहिणे एक संध्याकाळ वाया घालवते.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
घरातून येणारी आंतर प्रवेशयोग्यता स्वतंत्र तपासणीला पात्र आहे, कारण घरातील होस्टिंग अजिबात शक्य आहे का हे तीच ठरवते. तुमचा राउटर जाहीर करणाऱ्या WAN पत्त्याची तुलना बाहेरील होस्ट दिसणाऱ्या पत्त्याशी करा. तो 100.64.0.0/10 मध्ये पडला, किंवा दोन्ही जुळले नाहीत, तर तुम्ही carrier-grade NAT मागे आहात आणि कोणतेही पोर्ट फॉरवर्डिंग कधीच चालणार नाही. खरे पर्याय म्हणजे रिले, घरातून बाहेर डायल करणारा क्लाउड दुवा, किंवा endpoint हलवणे.
घरातील होस्टिंग काय देते आणि काय घेते
घर हे डीफॉल्टने LAN च्या आत असलेले एकमेव स्थान आहे, आणि तिथे सर्व्हर ठेवण्याचे संपूर्ण कारण तेच आहे. फक्त स्थानिक विभागावर उत्तर देणारी उपकरणे, जसे प्रिंटर आणि स्थानिकेतर सबनेट नाकारणारी NAS प्रशासन पाने, अतिरिक्त मार्गाशिवाय चालतात. मशीन, राउटर आणि अपलिंक तुम्ही स्वतः चालवता.
खर्च भौतिक आहेत. घरचा अपलोड एकाच वेळी सर्व क्लायंटसाठी कमाल मर्यादा आहे, त्यामुळे व्हिडिओ कॉल आणि बॅकअप एकाच नळीसाठी भांडतात. वीज, डिस्कची झीज, पॅचेस, DDNS आवश्यक असलेला गतिमान पत्ता, आत UDP फॉरवर्ड करणारा राउटर आणि कदाचित दुहेरी NAT — सर्व तुमच्यावर येते. लोक जे सोडतात ते म्हणजे पुनर्प्राप्ती: तुम्ही बाहेर असताना खोका मेला, तर घरात येण्याचा तुमचा एकमेव मार्गही त्याच्यासोबत मरतो. त्याच किल्ल्यांसह दुसरे उपकरण, किंवा किमान भौतिक प्रवेशाची योजना ठेवा.
घरात खोका नसताना LAN प्रवेश हवा असेल, तर देखावा करण्याऐवजी दुवा बांधा. क्लाउड endpoint राउटर होतो: घराच्या बाजूने AllowedIPs = 192.168.1.0/24 सह क्लाउड peer वर टनेल, शिवाय क्लाउड खोक्यावर फॉरवर्डिंग आणि NAT. strongSwan चे फॉरवर्डिंग मार्गदर्शक त्या रचनेचा परतीचा अर्धा भाग समजावते, आणि तिथेच यापैकी बहुतेक प्रयत्न अपयशी ठरतात. घरच्या peer ला आता काही चालण्यासाठी वर असावे लागते, म्हणजे तुम्ही एक अवलंबित्व दुसऱ्याशी बदलले आणि ते लिहून ठेवले पाहिजे.
क्लाउड endpoint प्रत्यक्षात कशासाठी आहे
क्लाउड endpoint तुमचा सार्वजनिक निर्गम बदलतो. रहदारी पुरवठादाराच्या पत्ता श्रेणीतून बाहेर पडते, आणि संकेतस्थळे घरच्या पत्त्याऐवजी तो पत्ता पाहतात. मूल्य तिथेच आहे, आणि म्हणूनच क्लाउड VPN तुम्हाला NAS देत नाही: तुम्ही निर्गम हलवले, LAN नाही.
तुम्ही अजूनही पाहुणे प्रणाली, VPN सेवा आणि तिची ओळखपत्रे चालवता, तर पुरवठादार हायपरवायझर आणि भौतिक नेटवर्क चालवतो, आणि रात्री 2 वाजता काही बिघडल्यावर ही विभागणी महत्त्वाची ठरते. सार्वजनिक endpoint सतत स्कॅन होतो, म्हणून व्यवस्थापन पोर्ट बंद ठेवा, फक्त VPN पोर्टला परवानगी द्या आणि वेळापत्रकानुसार पॅच करा. सुरक्षा गट आणि पुरवठादाराच्या फायरवॉलने तो पोर्ट परवानगी दिली पाहिजे, आणि काही क्लाउड इन्स्टन्सवर स्रोत-गंतव्य तपासणी नीट केली नाहीतर फॉरवर्ड केलेली रहदारी टाकून देतात.
छोटा इन्स्टन्स मुठभर क्लायंट सांभाळतो, पण एन्क्रिप्शन CPU चे काम आहे, आणि क्रेडिट संपलेला burstable इन्स्टन्स सतत भाराखाली असमान वागतो. स्पेक शीट नाही, तुम्ही प्रत्यक्षात वापरता तो मार्ग पाहा.
लिहून ठेवता येणारा निर्णय
काम स्थान ठरवते, खोक्यावरील लेबल नाही. तुमच्या घरच्या LAN वर उपकरण हवे असेल, तर सर्वात स्वस्त बरोबर उत्तर घरात endpoint आहे; परतीचा दुवा बांधल्यानंतरच क्लाउड खोका चालतो. वेगळा सार्वजनिक निर्गम हवा असेल, तर उत्तर क्लाउड आहे आणि LAN चा प्रश्न उद्भवतच नाही. दोन्ही हवे असणे वैध आहे, पण त्याचा अर्थ दोन endpoint, दोन किल्ली संच आणि दोन नोंदवलेले मार्ग.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
क्लायंटकडून क्रमाने तपासा: हँडशेक, peer पत्ता, LAN होस्ट, नंतर निर्गम IP. curl -s https://ifconfig.me इंटरनेट काय पाहते ते दाखवते, आणि ip route get 192.168.1.20 endpoint काय मानते ते दाखवते. निर्गम तपासणी पास झाली आणि NAS तपासणी लटकली, तर स्थानाचे उत्तर तुमच्याकडे आहे; क्लायंटवर AllowedIPs बदलल्याने मार्ग तयार होणार नाही. 10.8.0.0/24, 192.168.1.0/24 सारखी विभागलेली ओळ LAN रहदारी टनेलमध्ये फक्त तेव्हाच ठेवते जेव्हा तो मार्ग खरोखर अस्तित्वात असेल.