Server VPN tad-dar kontra server tal-cloud: liema jasal għall-NAS tiegħek?
It-tunnel titla’, iżda n-NAS tad-dar jibqa’ mhux aċċessibbli. Agħżel il-post tal-endpoint skont ir-riżors li trid tilħaq, imbagħad iċċekkja r-rotta.
It-tunnel titla’, il-klijent juri tikka ħadra, u ssh 192.168.1.20 xorta tibqa’ mdendla sakemm jiskadi l-ħin. Iliqajt eżatt b’dan wara li kera istanza żgħira tal-cloud u poġġej WireGuard fuqha: handshake tajjeb, DNS tajjeb, u n-NAS fuq l-iskrivanija tiegħi daqstant mhux aċċessibbli bħallikieku kien fuq il-qamar. Ma kien xejn ħażin fit-tunnel. L-endpoint kien ipparkjat f’netwerk li m’għandux rotta lejn dari. Il-post tal-endpoint jiddetermina liema netwerks huma ġirien, għalhekk agħżlu skont ir-riżors li trid tilħaq l-ewwel u qabbel il-hosting wara.
Tunnel jasal biss għan-netwerks li l-endpoint jista’ jirrotta
VPN jagħti lill-klijent tiegħek indirizz fid-dominju tar-routing tal-endpoint stess. Meta l-klijent jibgħat pakkett lil 192.168.1.20, l-endpoint irid ikun jaf fejn sejjer. It-tabella ta’ VM tal-cloud taf is-subnets VPC tal-fornitur; dwar il-LAN tiegħek qatt ma semgħet. Konness u aċċessibbli huma żewġ fatti differenti, u l-biċċa l-kbira tal-konfużjoni bejn id-dar u l-cloud tiġi milli wieħed jieħu l-ewwel bħala prova tat-tieni.
Kmand wieħed jiddeċidiha. Fuq l-endpoint, ip route get 192.168.1.20 jew isemmi interface LAN jew jindika r-rotta default. Fuq magna tad-dar it-tweġiba hija n-naħa LAN. Fuq istanza tal-cloud il-pakkett joħroġ lejn l-internet u jmut. Ix-xegħil ta’ net.ipv4.ip_forward=1 u ż-żieda ta’ regola MASQUERADE ma jbiddlux dan, għax m’hemm xejn fejn tgħaddi sakemm xi ħaġa fuq in-naħa tad-dar ma ttemmx konnessjoni lejn il-cloud.
Il-każ tad-dar għandu nofs ieħor: it-triq lura. Il-pakketti li jħallu l-LAN mill-kaxxa tat-tunnel jiġu NATjati, jew il-LAN jeħtieġ rotta statika lura għas-subnet tat-tunnel. Meta taħdem direzzjoni waħda biss, iċċekkja sysctl net.ipv4.conf.all.rp_filter. Il-filtrazzjoni stretta tat-triq inversa tarmi t-tweġibiet li jaslu fuq interface differenti minn dik li tipprevedi r-rotta, u s-sintomu jidher eżatt bħal regola ta’ firewall.
Aqra s-sintomu qabel ma tmiss il-konfigurazzjoni
It-tunnel ma tinbena: ċwievet, indirizz tal-endpoint jew port UDP imblukkat. Tunnel ’il fuq imma hosts LAN mejta: tqegħid u routing. Tunnel ’il fuq imma browsing mewt: forwardjar, NAT jew DNS. Dawk huma tliet saffi u tliet verifiki differenti, u kitba mill-ġdid ta’ konfigurazzjoni li diġà kienet tajba taħli lejla.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
L-aċċessibilità deħla mid-dar ħaqqha verifika tagħha, għax tiddetermina jekk il-hosting fid-dar huwiex possibbli xejn. Qabbel l-indirizz WAN li jirrapporta r-router tiegħek mal-indirizz li jara host barrani. Jekk jaqa’ f’100.64.0.0/10, jew it-tnejn ma jaqblux, int wara NAT tal-operatur u l-ebda forwardjar tal-port qatt ma jaħdem. L-għażliet veri huma relay, rabtiet tal-cloud li jċempel ’il barra mid-dar, jew li tċaqlaq l-endpoint.
X’jixtri l-hosting fid-dar u kemm jiswa
Id-dar hija l-uniku tqegħid li b’mod default jinsab fil-LAN, u dan huwa r-raġuni kollha biex tpoġġi server hemm. Apparati li jwieġbu biss fuq is-segment lokali, bħal printers u paġni tal-amministrazzjoni tan-NAS li jirrifjutaw subnets mhux lokali, jaħdmu mingħajr routing żejjed. Int ukoll topera l-magna, ir-router u l-uplink waħdek.
L-ispejjeż huma fiżiċi. L-upload tad-dar huwa l-limitu għall-klijenti kollha f’daqqa, għalhekk telefonata bil-vidjo u backup jikkompetu għall-istess pajp. Elettriku, xedd tad-diska, patches, indirizz dinamiku li jeħtieġ DDNS, router li jrid jgħaddi UDP ’il ġewwa, u forsi NAT doppju kollha jaqgħu fuqek. Dak li n-nies jaqbsu huwa l-irkupru: jekk il-kaxxa tmut waqt li tkun ’il barra, l-unika triq tiegħek lejn id-dar tmut magħha. Żomm it-tieni apparat bl-istess ċwievet, jew mill-inqas pjan għall-aċċess fiżiku.
Jekk trid aċċess għal-LAN mingħajr il-kaxxa fid-dar, ibni rabta minflok tagħmel tabirruħha. L-endpoint tal-cloud isir router: tunnel min-naħa tad-dar bi AllowedIPs = 192.168.1.0/24 fuq il-peer tal-cloud, flimkien ma’ forwardjar u NAT fuq il-kaxxa tal-cloud. Il-gwida tal-forwardjar ta’ strongSwan tgħaddi min-nofs lura ta’ dak is-setup, u hemmhekk ifallu ħafna minn dawn l-attentati. Il-peer tad-dar issa jrid ikun ’il fuq biex jaħdem xejn, għalhekk bdilt dipendenza waħda ma’ oħra u għandek tikteb dan.
Għalxiex huwa verament endpoint tal-cloud
Endpoint tal-cloud ibiddel il-ħruġ pubbliku tiegħek. It-traffiku joħroġ mill-firxa tal-indirizzi tal-fornitur, u s-siti jaraw dak l-indirizz minflok dak tad-dar. Dan huwa l-valur, u għalhekk VPN tal-cloud ma jagħtikx in-NAS: ċaqlaqt il-ħruġ, mhux il-LAN.
Int għadek topera s-sistema tal-mistiedna, is-servizz VPN u l-kredenzjali tiegħu waqt li l-fornitur iopera l-hypervisor u n-netwerk fiżiku, u din il-qsim tiswa meta xi ħaġa tinqasam fl-2 ta’ filgħodu. Endpoint pubbliku jiġi skenjat kontinwament, għalhekk żomm il-port tal-ġestjoni magħluq, ippermetti biss il-port VPN, u applikka patches skont l-iskeda. Gruppi tas-sigurtà u firewalls tal-fornitur iridu jippermettu dak il-port, u xi clouds jarmu traffiku forwardjat sakemm ma taġġustax il-verifika tas-sors u d-destinazzjoni fuq l-istanza.
Istanza żgħira tkopri ftit klijenti, imma l-kriptaġġ huwa xogħol tas-CPU, u istanza burstable li tispiċċa l-krediti tagħha tġib ruħha b’mod irregolari taħt tagħbija kontinwa. Ħares lejn it-triq li tassew tuża, mhux il-karta tal-ispeċifikazzjoni.
Deċiżjoni li tista’ tikteb
Ix-xogħol jiddeċiedi t-tqegħid, mhux it-tikketta fuq il-kaxxa. Jekk għandek bżonn apparat fuq il-LAN tad-dar, l-iktar tweġiba korretta rħisa hija endpoint id-dar; kaxxa tal-cloud taħdem biss wara li tibni r-rabta lura. Jekk għandek bżonn ħruġ pubbliku differenti, it-tweġiba hija l-cloud u l-mistoqsija tal-LAN qatt ma tqum. Li trid it-tnejn huwa leġittimu, imma jfisser żewġ endpoints, żewġ settijiet ta’ ċwievet u żewġ rotot dokumentati.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
Ivverifika mill-klijent fl-ordni: handshake, indirizz tal-peer, host LAN, imbagħad l-IP tal-ħruġ. curl -s https://ifconfig.me juri x’jara l-internet, u ip route get 192.168.1.20 juri x’jaħseb l-endpoint. Meta l-verifika tal-ħruġ tgħaddi u dik tan-NAS tiddendel, diġà għandek it-tweġiba dwar it-tqegħid; l-aġġustament ta’ AllowedIPs fuq il-klijent mhu se joħloq rotta. Linja maqsuma bħal 10.8.0.0/24, 192.168.1.0/24 iżżomm it-traffiku tal-LAN fit-tunnel biss meta dik ir-rotta tassew teżisti.