کورني VPN سرور د کلاوډ سرور سره: کوم یو ستاسو NAS ته رسېږي؟
لاره لوړېږي، خو کورنی NAS بېلاسرسي پاتې کېږي. د endpoint ځای د هغه سرچینې له مخې وټاکئ چې باید لومړی یې لاس ووړئ، بیا لاره وګورئ.
لاره لوړېږي، کلاینټ شنه نقطه ښیي، او ssh 192.168.1.20 لا هم تر وخت تېرېدو ځوړند پاتې کېږي. زه په دې دقیقاً هغه وخت اخته شوم چې یوه کوچنۍ کلاوډ انسټنس مې کرایه کړه او پرې WireGuard مې ولګاوه: لاس ورکول سم، DNS سم، او زما پر مېز پروت NAS دومره بېلاسرسي لکه چې پر سپوږمۍ وي. په لاره کې هېڅ عیب نه و. Endpoint په داسې شبکه کې و چې زما کور ته لاره نه لري. د endpoint ځای ټاکي چې کومې شبکې ګاونډې دي، نو هغه لومړی د هغې سرچینې له مخې وټاکئ چې لاس وړل غواړئ، او کوربهتوب دوهم پرتله کړئ.
لاره یوازې هغو شبکو ته رسېږي چې endpoint یې لارښوونه کولی شي
VPN ستاسو کلاینټ ته د endpoint په خپل لارښوونې ډومین کې پته ورکوي. کله چې کلاینټ 192.168.1.20 ته بسته واستوي، endpoint باید وپوهېږي چې هغه چېرته ځي. د کلاوډ VM جدول د برابرونکي VPC فرعي شبکې پېژني؛ ستاسو LAN یې هېڅکله نه دی اورېدلی. نښلول شوی او رسېدلی دوه بېلې واقعیتونه دي، او د کور او کلاوډ ډېره ګډوډي د لومړي د دوهم ثبوت ګڼلو څخه راځي.
یو حکم یې فیصله کوي. پر endpoint ip route get 192.168.1.20 یا LAN انټرفیس نوموي یا ډیفالټ لارې ته اشاره کوي. په کورني ماشین کې ځواب LAN خوا ده. په کلاوډ انسټنس کې بسته انټرنېټ ته وځي او مري. فعالول د net.ipv4.ip_forward=1 او MASQUERADE قاعده زیاتول هغه نه بدلوي، ځکه چې تر هغه چې د کور خوا څخه یو څه کلاوډ ته لینک نه وي پای ته رسولی، د لېږلو ځای نشته.
کورنۍ پېښه دوهمه نیمه لري: د بېرته راتلو لار. هغه بستې چې د لارې صندوق له لارې LAN پریږدي NAT کېږي، یا LAN د لارې فرعي شبکې ته د سټاټیک لارې اړتیا لري. کله چې یوازې یو لوری کار کوي، وګورئ sysctl net.ipv4.conf.all.rp_filter. کلکه د بېرته لار فلټرېدنه هغه ځوابونه غورځوي چې د لارې د اټکل څخه بېل انټرفیس ته رسېږي، او نښه دقیقاً د اور وژنې دېوال د قاعدې په څېر ښکاري.
له ترتیب مخکې نښه ولولئ
لاره نه جوړېږي: کیلي، د endpoint پته یا بند UDP پورټ. لاره پورته ده خو LAN کوربه مړه دي: ځای او لارښوونه. لاره پورته ده خو براوزنګ مړ دی: لېږد، NAT یا DNS. دا درې طبقې او درې بېلې کتنې دي، او هغه ترتیب چې لا سم و بیا لیکل یوه ماښام ضایع کوي.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
له کوره راتلونکې رسېدنه خپله کتنه غواړي، ځکه چې دا فیصله کوي چې په کور کې کوربهتوب اصلاً ممکن دی که نه. هغه WAN پته چې ستاسو روټر راپه ګوته کوي د هغې پتې سره پرتله کړئ چې بهرنی کوربه یې ویني. که هغه د 100.64.0.0/10 دننه وي، یا دواړه سره نه ځي، تاسو د carrier-grade NAT شاته یاست او هېڅ د پورټ لېږد به هېڅکله کار ونه کړي. ریښتیني انتخابونه ریلې، هغه کلاوډ لینک چې له کوره بهر ته زنګ وهي, یا د endpoint لېږدول دي.
د کور کوربهتوب څه درکوي او څه لګښت لري
کور یوازینی ځای دی چې په ډیفالټ ډول د LAN دننه وي، او همدا د هلته سرور اېښودلو ټول دلیل دی. هغه وسایل چې یوازې په سیمه ییزه برخه ځواب وایي، لکه پرنټرونه او د NAS د اداره پاڼې چې غیر سیمه ییزې فرعي شبکې نه مني، پرته له زیاتې لارښوونې کار کوي. تاسو ماشین، روټر او پورتنۍ لینک هم پخپله چلوئ.
لګښتونه فزیکي دي. د کور اپلوډ په یو وخت کې د ټولو کلاینټونو لپاره چت دی، نو د ویډیو غږ او بیک اپ د یوې نلکې لپاره سیالي کوي. برېښنا، د ډیسک تخریب، پیچونه، DDNS ته اړتیا لرونکې متحرکه پته، هغه روټر چې باید UDP دننه لېږد کړي، او شاید دوه ګونی NAT — ټول پر تاسو راولوېږي. هغه څه چې خلک یې پرېږدي بیا رغونه ده: که صندوق هغه وخت مړ شي چې تاسو بهر یاست، کور ته ستاسو یوازینې لاره هم ورسره مري. د ورته کیلیو سره دوهم وسیله، یا لږ تر لږه د فزیکي لاسرسي پلان وساتئ.
که له کوره صندوق پرته LAN لاسرسي غواړئ، د ځان ښودنې پر ځای لینک جوړ کړئ. کلاوډ endpoint روټر کېږي: له کور خوا څخه AllowedIPs = 192.168.1.0/24 سره کلاوډ peer ته لاره، له دې سره لېږد او NAT پر کلاوډ صندوق. د strongSwan د لېږد لارښود د هغې ترتیب د بېرته راتلو نیمه تشریح کوي، او هم هلته د دې هڅو ډېری ناکامېږي. کورني peer ته اوس باید پورته وي چې هر څه کار وکړي، نو تاسو یوه تکیه په بله بدله کړه او باید دا ولیکئ.
کلاوډ endpoint واقعاً د څه لپاره دی
کلاوډ endpoint ستاسو عامه وتل بدلوي. ټرافیک د برابرونکي د پتو له ساحې وځي، او وېبپاڼې هغه پته ویني نه ستاسو کورنۍ پته. ارزښت هم هلته دی، او همدا لامل دی چې کلاوډ VPN تاسو ته NAS نه درکوي: تاسو وتل لېږدول، نه LAN.
تاسو لا هم میلمه سیستم، د VPN خدمت او د هغه اسناد چلوئ، پداسې حال کې چې برابرونکی هایپروایزر او فزیکي شبکه چلوي، او دا وېش هغه وخت مهم دی چې شپه 2 بجې یو څه خراب شي. عامه endpoint تل سکین کېږي، نو د اداره پورټ بند وساتئ، یوازې د VPN پورټ ته اجازه ورکړئ او د مهالوېش له مخې پیچ وکړئ. د امنیت ګروپونه او د برابرونکي اور وژنې دېوالونه باید هغه پورټ ته اجازه ورکړي، او ځینې کلاوډونه لېږدول شوی ټرافیک غورځوي خو که پر انسټنس د سرچینې او منزل کتنه سمه نه کړئ.
کوچنی انسټنس یو څو کلاینټونه پوښي، خو کوډ کول د CPU کار دی، او هغه burstable انسټنس چې کریډټ یې خلاص شوي وي تر دوامداره بار لاندې نیمګړی چلند کوي. هغه لاره وګورئ چې واقعاً یې کاروئ، نه د مشخصاتو پاڼه.
هغه پرېکړه چې لیکلی یې شئ
دنده ځای ټاکي، نه پر صندوق لیکل شوی لیبل. که ستاسو د کور LAN ته وسیله غواړئ، تر ټولو ارزانه سم ځواب په کور کې endpoint دی؛ کلاوډ صندوق یوازې هغه وخت کار کوي چې بېرته راتلو لینک یې جوړ کړی وي. که بل عامه وتل غواړئ، ځواب کلاوډ دی او د LAN پوښتنه هېڅکله نه راځي. دواړه غوښتل قانوني دي، خو دا دوه endpoint، دوه کیلي سیټونه او دوه مستندې لارې معنا لري.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
له کلاینټ څخه په ترتیب وګورئ: لاس ورکول، د peer پته، LAN کوربه، بیا د وتلو IP. curl -s https://ifconfig.me ښیي چې انټرنېټ څه ویني، او ip route get 192.168.1.20 ښیي چې endpoint څه فکر کوي. کله چې د وتلو کتنه بریالۍ شي او د NAS کتنه ځوړند وي، د ځای ځواب تاسو سره لا دی؛ پر کلاینټ AllowedIPs بدلول لاره نه جوړوي. 10.8.0.0/24, 192.168.1.0/24 په څېر ووېشل شوې کرښه LAN ټرافیک یوازې هغه وخت په لاره کې ساتي چې هغه لاره واقعاً شتون ولري.