Mencapai peranti rumah melalui VPN akses jauh: lima pintu

VPN keluar internet komersial menyembunyikan alamat anda; ia tidak menghubungkan anda ke rumah anda sendiri. Mencapai NAS atau pencetak pada rangkaian rumah memerlukan gateway yang berada pada rangkaian itu dan klien yang membina tunel ke arahnya. Paket itu kemudian mesti melalui lima pemeriksaan, dan kegagalan mana-mana satu daripadanya kelihatan sama dari luar.

Pintu 1: klien mesti memilih tunel

Semak sama ada awalan destinasi benar-benar dihalakan ke dalam tunel pada klien. Profil tunel berpecah yang hanya menolak subnet VPN sendiri akan menghantar 192.168.x.x terus keluar dari antara muka tempatan, di mana ia tidak sampai ke mana-mana. Lihat jadual penghalaan klien, bukan nama profil.

Ini kegagalan paling biasa pada klien telefon, yang selalunya secara lalai hanya menghantar DNS atau hanya satu awalan. Jika laluan tiada, jabat tangan boleh sempurna dan peranti masih tidak dapat dicapai.

Sahkan alamat kolam klien dan subnet rumah tidak bertindih sebelum meneruskan.

Pintu 2: gateway mesti menghantar

VPN berakhir pada hos yang mesti menghantar paket yang dinyahsulit ke LAN. Itu memerlukan penghantaran IP diaktifkan dan dasar firewall yang membenarkan aliran dari antara muka VPN ke antara muka LAN. Pada perkakas penghala ini biasanya terbina dalam; pada kotak Linux dengan strongSwan atau WireGuard ia adalah dua tetapan yang orang lupa. Semak kedua-duanya sebelum menguji perkhidmatan, kerana mana-mana satu sahaja menghasilkan tamat masa yang sama.

Uji dengan tangkapan pada antara muka LAN, kerana paket yang tidak pernah muncul di sana telah digugurkan atau tidak pernah dihantar.

Ini kegagalan yang berbeza daripada perkhidmatan yang menolak sambungan, dan perbezaan itu menjimatkan banyak masa. Kekalkan kebenaran sempit, terhad kepada perkhidmatan dan kolam VPN dan bukan seluruh subnet.

Pintu 3: laluan balasan menentukan segala-galanya

Sasaran membalas ke alamat sumber yang dilihatnya, iaitu sama ada alamat kolam klien atau gateway, bergantung sama ada anda menterjemah. Jika gateway lalai sasaran ialah penghala rumah dan penghala itu tiada laluan ke kolam VPN, balasan keluar melalui internet dan mati. Inilah sambungan sehala klasik.

Terdapat dua pembetulan sah: tambah laluan untuk kolam pada gateway LAN, atau lakukan source-NAT pada gateway VPN supaya sasaran hanya melihat alamat gateway. Yang kedua lebih mudah dan kehilangan identiti sumber asal.

Pilih satu dengan sengaja dan catat yang mana, kerana peraturan firewall dan log bergantung padanya. Panduan penghantaran strongSwan menelusuri bahagian Linux keputusan itu.

Pintu 4: nama dan pertindihan awalan

Nama penemuan tempatan tidak melintasi sempadan yang dihalakan, jadi peranti yang muncul sebagai nama mesra di dalam rumah mungkin tidak kelihatan melalui tunel. Sediakan DNS untuk zon persendirian, atau dokumentasikan alamatnya. Apa jua nama yang anda gunakan, ia mesti diselesaikan kepada sesuatu yang boleh dihalakan oleh klien jauh. Itulah sebabnya peranti boleh dicapai melalui alamat dan tidak kelihatan melalui nama pada masa yang sama.

Awalan yang bertindih ialah perangkap lain: jika kolam klien ialah 192.168.1.0/24 dan rangkaian rumah juga, klien menganggap destinasi itu tempatan dan tidak pernah menghantarnya melalui tunel.

Nomborkan semula satu pihak, atau gunakan kolam daripada julat yang tidak akan anda temui di rumah.

Pintu 5: uji dari luar rumah

Ujian dari dapur tidak membuktikan apa-apa, kerana trafik mungkin tidak pernah meninggalkan LAN. Sambung dari hotspot mudah alih atau rangkaian lain, kemudian jalani pintu-pintu itu mengikut urutan: laluan pada klien, tangkapan pada antara muka LAN, respons perkhidmatan, tangkapan balasan dan penyelesaian nama. Pintu pertama yang tidak menghasilkan bukti ialah tempat kerja itu.

Jika perkhidmatan menjawab tetapi namanya tidak, anda mempunyai masalah DNS dan bukan masalah tunel.

Simpan konfigurasi yang berfungsi dalam nota bersama kolam, laluan dan pilihan NAT, kerana penggantian penghala seterusnya akan menetapkan semula ketiga-tiganya.