Pelayan VPN rumah berbanding pelayan awan: yang mana sampai ke NAS anda?
Terowong naik, tetapi NAS rumah kekal tidak dapat dicapai. Pilih lokasi endpoint mengikut sumber yang perlu anda sentuh, kemudian semak laluan.
Terowong naik, klien menunjukkan titik hijau, dan ssh 192.168.1.20 masih tergantung sehingga tamat masa. Saya mengalami perkara itu selepas menyewa instans awan kecil dan meletakkan WireGuard padanya: jabat tangan baik, DNS baik, dan NAS di meja saya sama tidak dapat dicapai seperti di bulan. Tiada apa yang salah dengan terowong itu. Endpoint berada dalam rangkaian yang tiada laluan ke rumah saya. Lokasi endpoint menentukan rangkaian mana yang bersebelahan, jadi pilih mengikut sumber yang perlu disentuh dahulu dan bandingkan hosting kemudian.
Terowong hanya sampai ke rangkaian yang boleh dihalakan oleh endpoint
VPN memberi klien anda alamat dalam domain penghalaan endpoint itu sendiri. Apabila klien menghantar paket ke 192.168.1.20, endpoint mesti tahu ke mana ia pergi. Jadual VM awan mengenali subnet VPC penyedia; ia tidak pernah mendengar tentang LAN anda. Bersambung dan boleh dicapai ialah dua fakta berbeza, dan kebanyakan kekeliruan rumah berbanding awan datang daripada menganggap yang pertama sebagai bukti yang kedua.
Satu arahan menyelesaikannya. Pada endpoint, ip route get 192.168.1.20 sama ada menamakan antara muka LAN atau menunjuk laluan lalai. Pada mesin rumah jawapannya sebelah LAN. Pada instans awan paket keluar ke internet dan mati. Menghidupkan net.ipv4.ip_forward=1 dan menambah peraturan MASQUERADE tidak mengubahnya, kerana tiada destinasi untuk meneruskan sehingga sesuatu di sebelah rumah menamatkan pautan ke awan.
Kes rumah ada separuh kedua: laluan pulang. Paket yang meninggalkan LAN melalui kotak terowong dikenakan NAT, atau LAN memerlukan laluan statik kembali ke subnet terowong. Apabila hanya satu arah berfungsi, semak sysctl net.ipv4.conf.all.rp_filter. Penapisan laluan songsang yang ketat membuang balasan yang tiba pada antara muka berbeza daripada yang diramalkan laluan, dan gejalanya kelihatan sama seperti peraturan tembok api.
Baca gejala sebelum menyentuh konfigurasi
Terowong tidak terbentuk: kunci, alamat endpoint atau port UDP yang disekat. Terowong naik tetapi hos LAN mati: penempatan dan penghalaan. Terowong naik tetapi pelayaran mati: penghantaran, NAT atau DNS. Itu tiga lapisan dan tiga pemeriksaan berbeza, dan menulis semula konfigurasi yang sudah betul membazirkan satu malam.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
Kebolehcapaian masuk dari rumah wajar diperiksa sendiri, kerana ia menentukan sama ada hosting di rumah mungkin sama sekali. Bandingkan alamat WAN yang dilaporkan oleh penghala anda dengan alamat yang dilihat oleh hos luar. Jika ia jatuh dalam 100.64.0.0/10, atau kedua-duanya tidak sepadan, anda berada di belakang NAT pembawa dan tiada pemajuan port akan berfungsi. Pilihan sebenar ialah geganti, pautan awan yang mendail keluar dari rumah, atau memindahkan endpoint.
Apa yang hosting rumah beri dan berapa kosnya
Rumah ialah satu-satunya penempatan yang berada di dalam LAN secara lalai, dan itulah seluruh sebab meletakkan pelayan di sana. Peranti yang hanya menjawab pada segmen tempatan, seperti pencetak dan halaman pentadbir NAS yang menolak subnet bukan tempatan, berfungsi tanpa penghalaan tambahan. Anda juga mengendalikan mesin, penghala dan pautan atas sendiri.
Kosnya fizikal. Muat naik rumah ialah had atas untuk semua klien serentak, jadi panggilan video dan sandaran berebut paip yang sama. Elektrik, haus cakera, tampalan, alamat dinamik yang memerlukan DDNS, penghala yang mesti memajukan UDP ke dalam, dan mungkin NAT berganda semuanya jatuh pada anda. Yang orang terlepas pandang ialah pemulihan: jika kotak mati semasa anda tiada, satu-satunya jalan anda ke rumah mati bersamanya. Simpan peranti kedua dengan kunci yang sama, atau sekurang-kurangnya pelan akses fizikal.
Jika anda mahu akses LAN tanpa kotak di rumah, bina pautan bukan berpura-pura. Endpoint awan menjadi penghala: terowong dari sebelah rumah dengan AllowedIPs = 192.168.1.0/24 pada peer awan, serta penghantaran dan NAT pada kotak awan. Panduan penghantaran strongSwan menelusuri separuh pulang konfigurasi itu, dan di situlah kebanyakan percubaan ini gagal. Peer rumah kini mesti hidup untuk apa-apa berfungsi, jadi anda menukar satu kebergantungan dengan yang lain dan patut mencatatnya.
Untuk apa endpoint awan sebenarnya
Endpoint awan mengubah jalan keluar awam anda. Trafik keluar dari julat alamat penyedia, dan laman melihat alamat itu bukan alamat rumah. Itulah nilainya, dan itulah sebabnya VPN awan tidak memberi anda NAS: anda memindahkan jalan keluar, bukan LAN.
Anda masih menjalankan sistem tetamu, perkhidmatan VPN dan kelayakannya sementara penyedia menjalankan hypervisor dan rangkaian fizikal, dan pembahagian itu penting apabila sesuatu rosak pada 2 pagi. Endpoint awam diimbas berterusan, jadi tutup port pengurusan, benarkan hanya port VPN, dan tampal mengikut jadual. Kumpulan keselamatan dan tembok api penyedia mesti membenarkan port itu, dan sesetengah awan membuang trafik yang dimajukan kecuali anda melaraskan semakan sumber dan destinasi pada instans.
Instans kecil meliputi segelintir klien, tetapi penyulitan ialah kerja CPU, dan instans burstable yang kehabisan kredit berkelakuan tidak sekata di bawah beban berterusan. Lihat laluan yang benar-benar anda gunakan, bukan helaian spesifikasi.
Keputusan yang boleh anda catat
Tugasan menentukan penempatan, bukan label pada kotak. Jika anda perlukan peranti pada LAN rumah, jawapan betul paling murah ialah endpoint di rumah; kotak awan hanya berfungsi selepas anda membina pautan balik. Jika anda perlukan jalan keluar awam yang berbeza, jawapannya awan dan soalan LAN tidak timbul. Mahu kedua-duanya sah, tetapi ia bermaksud dua endpoint, dua set kunci dan dua laluan terdokumentasi.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
Sahkan dari klien mengikut urutan: jabat tangan, alamat peer, hos LAN, kemudian IP keluar. curl -s https://ifconfig.me menunjukkan apa yang dilihat internet, dan ip route get 192.168.1.20 menunjukkan apa yang dipercayai endpoint. Apabila semakan keluar lulus dan semakan NAS tergantung, anda sudah ada jawapan tentang penempatan; melaraskan AllowedIPs pada klien tidak akan memunculkan laluan. Baris terpisah seperti 10.8.0.0/24, 192.168.1.0/24 hanya menyimpan trafik LAN di dalam terowong apabila laluan itu benar-benar wujud.