Tasal għal apparat tad-dar permezz ta’ VPN ta’ aċċess mill-bogħod: ħames bibien

VPN kummerċjali tal-ħruġ mill-internet jaħbi l-indirizz tiegħek; ma jgħaqqdekx mad-dar tiegħek. Biex tasal għall-NAS jew għall-printer fuq netwerk tad-dar jeħtieġ gateway li jinsab fuq dik in-netwerk u klijent li jibni tunnel lejha. Il-pakkett imbagħad irid jgħaddi minn ħames kontrolli, u kull waħda li tfalli tidher l-istess minn barra.

Bieb 1: il-klijent irid jagħżel it-tunnel

Iċċekkja jekk il-prefiss tad-destinazzjoni huwiex tassew mitmugħ fit-tunnel fuq il-klijent. Profil ta’ tunnel maqsum li jimbotta biss is-subnet tal-VPN stess se jibgħat 192.168.x.x direttament mill-interface lokali, fejn ma jasal imkien. Ħares lejn it-tabella tar-rotta tal-klijent, mhux lejn l-isem tal-profil.

Dan huwa l-aktar falliment komuni fil-klijenti tat-telefon, li spiss b’mod awtomatiku jibagħtu biss DNS jew biss prefiss wieħed. Jekk it-triq hija nieqsa, il-handshake jista’ jkun perfett u l-apparat xorta ma jintlaħaqx.

Ikkonferma li l-indirizz tal-pool tal-klijent u s-subnet tad-dar ma jidħlux f’xulxin qabel ma tkompli.

Bieb 2: il-gateway irid jibgħat

Il-VPN jispiċċa fuq host li jrid jibgħat il-pakkett deċifrat lejn il-LAN. Dan jeħtieġ trażmissjoni IP attivata u politika tal-firewall li tippermetti l-fluss mill-interface tal-VPN għall-interface tal-LAN. Fuq apparat tar-router dan normalment huwa mibni ġewwa; fuq kaxxa Linux b’strongSwan jew WireGuard dawn huma żewġ settings li n-nies jinsu. Iċċekkja t-tnejn qabel ma tittestja s-servizz, għax kull waħda waħedha tagħti l-istess timeout.

Ittejjeb b’qabda fuq l-interface tal-LAN, għax pakkett li qatt ma jidher hemm kien mitfugħ jew qatt ma ntbagħat.

Dan huwa falliment differenti minn servizz li jirrifjuta l-konnessjoni, u din id-differenza tiffranka ħafna ħin. Żomm il-permess dejjaq, limitat għas-servizz u l-pool tal-VPN minflok is-subnet kollu.

Bieb 3: it-triq tal-wegġa tiddeċiedi kollox

Il-mira twieġeb għall-indirizz tas-sors li rat, li huwa jew l-indirizz tal-pool tal-klijent jew il-gateway, skont jekk tittraduċix. Jekk il-gateway awtomatiku tal-mira huwa r-router tad-dar u dan ir-router m’għandux rotta lejn il-pool tal-VPN, il-wegġa toħroġ mill-internet u tmut. Din hija l-konnessjoni unidirezzjonali klassika.

Jeżistu żewġ soluzzjonijiet leġittimi: żid rotta għall-pool fuq il-gateway tal-LAN, jew agħmel source-NAT fuq il-gateway tal-VPN sabiex il-mira tara dejjem biss l-indirizz tal-gateway. It-tieni waħda hija eħfef u titlef l-identità oriġinali tas-sors.

Agħżel waħda b’mod deliberat u ikteb liema, għax ir-regoli tal-firewall u l-logs jiddependu fuqha. Il-gwida tal-ħruġ ta’ strongSwan tgħaddi mill-ġenb Linux ta’ dik id-deċiżjoni.

Bieb 4: ismijiet u sovrapposizzjoni tal-prefissi

L-ismijiet tal-iskoperta lokali ma jaqsmu l-ebda fruntiera bl-inderizzjar, għalhekk apparat li jidher b’isem familjari ġewwa d-dar jista’ jkun inviżibbli permezz tat-tunnel. Ipprovdi DNS għaż-żona privata, jew iddokumenta l-indirizz. Kwalunkwe isem tuża, irid jiġi riżolt f’xi ħaġa li l-klijent remot jista’ jindirizza. Għalhekk apparat jista’ jkun aċċessibbli bl-indirizz u inviżibbli bl-isem fl-istess ħin.

Il-prefissi li jidħlu f’xulxin huma n-nassa l-oħra: jekk il-pool tal-klijent huwa 192.168.1.0/24 u n-netwerk tad-dar ukoll, il-klijent jittratta d-destinazzjoni bħala lokali u qatt ma jibgħatha mit-tunnel.

Erġa’ nnumeraw naħa waħda, jew uża pool minn firxa li qatt ma tiltaqa’ magħha fid-dar.

Bieb 5: ittestja minn barra d-dar

Test mill-kċina ma jipprova xejn, għax it-traffiku jista’ qatt ma joħroġ mill-LAN. Ikkonnettja minn hotspot mobbli jew netwerk ieħor, imbagħad imxi l-bibien bl-ordni: rotta fuq il-klijent, qabda fuq l-interface tal-LAN, tweġiba tas-servizz, qabda tal-wegġa u riżoluzzjoni tal-ismijiet. L-ewwel bieb li ma jipproduċi l-ebda prova huwa fejn hemm ix-xogħol.

Jekk is-servizz iwieġeb imma l-isem le, għandek problema DNS u mhux problema ta’ tunnel.

Żomm il-konfigurazzjoni li taħdem fi nota mal-pool, ir-rotta u l-għażla tan-NAT, għax is-sostituzzjoni li jmiss tar-router se tirrisettja t-tlieta kollha.