Kućni VPN server naspram cloud servera: koji stiže do vašeg NAS-a?
Tunel se podigne, ali kućni NAS ostaje nedostupan. Odaberite lokaciju endpointa po resursu do kojeg morate doprijeti, pa provjerite rutu.
Tunel se podigne, klijent pokaže zelenu tačku, a ssh 192.168.1.20 i dalje visi dok ne istekne vrijeme. Tačno to sam pogodio nakon što sam iznajmio mali cloud instancu i stavio WireGuard na nju: rukovanje u redu, DNS u redu, a NAS na mom stolu nedostupan kao da je na Mjesecu. S tunelom nije bilo ništa loše. Endpoint je bio parkiran u mreži koja nema rutu do moje kuće. Lokacija endpointa odlučuje koje su mreže susjedne, zato je odaberite po resursu do kojeg prvo morate doprijeti, a hosting uporedite drugo.
Tunel doseže samo mreže koje endpoint može usmjeriti
VPN daje vašem klijentu adresu unutar endpointovog vlastitog rutirajućeg domena. Kada klijent pošalje paket na 192.168.1.20, endpoint mora znati kamo to ide. Tabela cloud VM-a poznaje podmreže VPC-a provajdera; za vaš LAN nikad nije čula. Povezano i dostupno su dvije različite činjenice, a većina zbrke između kuće i oblaka dolazi od toga da se prvo uzima kao dokaz drugog.
Jedna naredba rješava stvar. Na endpointu, ip route get 192.168.1.20 ili navodi LAN sučelje ili pokazuje na zadanu rutu. Na kućnom uređaju odgovor je LAN strana. Na cloud instanci paket odlazi prema internetu i umire. Uključivanje net.ipv4.ip_forward=1 i dodavanje MASQUERADE pravila ne mijenja to, jer nema kamo proslijediti dok nešto na kućnoj strani ne prekine vezu u oblak.
Kućni slučaj ima drugu polovinu: povratnu rutu. Paketi koji napuštaju LAN kroz tunelski uređaj prolaze kroz NAT, ili LAN treba statičku rutu natrag do podmreže tunela. Kada radi samo jedan smjer, provjerite sysctl net.ipv4.conf.all.rp_filter. Striktno filtriranje povratnog puta odbacuje odgovore koji stižu na drugo sučelje od onog koje ruta predviđa, a simptom izgleda točno kao firewall pravilo.
Pročitajte simptom prije nego dirnete konfiguraciju
Tunel se ne uspostavlja: ključevi, adresa endpointa ili blokiran UDP port. Tunel radi ali su LAN hostovi mrtvi: smještaj i rutiranje. Tunel radi ali pregledavanje je mrtvo: prosljeđivanje, NAT ili DNS. To su tri sloja i tri različite provjere, a prepisivanje konfiguracije koja je već bila ispravna troši večer.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
Dolazna dostupnost kuće zaslužuje zasebnu provjeru, jer odlučuje je li hostanje kod kuće uopće moguće. Uporedite WAN adresu koju ruter prijavljuje s adresom koju vidi vanjski host. Ako padne u 100.64.0.0/10, ili se njih dvije ne slažu, nalazite se iza carrier-grade NAT-a i nikakvo prosljeđivanje porta neće raditi. Prave opcije su relej, cloud veza koja zove prema van iz kuće, ili premještanje endpointa.
Šta kućni hosting kupuje i koliko košta
Kuća je jedini smještaj koji je po defaultu unutar LAN-a, i to je cijeli razlog da tamo stavite server. Uređaji koji odgovaraju samo na lokalnom segmentu, poput printera i NAS admin stranica koje odbijaju nelokalne podmreže, rade bez dodatnog rutiranja. Također sami upravljate strojem, ruterom i uplinkom.
Troškovi su fizički. Kućni upload je plafon za sve klijente odjednom, pa se videopoziv i sigurnosna kopija takmiče za istu cijev. Struja, trošenje diska, zakrpe, dinamička adresa kojoj treba DDNS, ruter koji mora prosljeđivati UDP prema unutra, i eventualni dupli NAT — sve to pada na vas. Ono što ljudi preskaču je oporavak: ako uređaj umre dok vas nema, s njim umire i vaš jedini put u kuću. Držite drugi uređaj s istim ključevima ili barem plan za fizički pristup.
Ako želite LAN pristup bez kućnog uređaja, izgradite vezu umjesto da se pretvarate. Cloud endpoint postaje ruter: tunel s kućne strane s AllowedIPs = 192.168.1.0/24 na cloud peer-u, plus prosljeđivanje i NAT na cloud uređaju. strongSwanov vodič za prosljeđivanje prolazi kroz povratnu polovinu te postavke i tu većina ovih pokušaja pada. Kućni peer sada mora biti podignut da bi išta radilo, pa ste trampili jednu zavisnost za drugu i to treba zapisati.
Čemu cloud endpoint zapravo služi
Cloud endpoint mijenja vaš javni izlaz. Saobraćaj odlazi iz provajderovog adresnog opsega i sajtovi vide tu adresu umjesto vaše kućne. U tome je vrijednost, i zato vam cloud VPN ne daje NAS: premjestili ste izlaz, ne LAN.
I dalje vodite gostujući sistem, VPN servis i njegove vjerodajnice dok provajder vodi hipervizor i fizičku mrežu, a ta podjela je važna kada se nešto pokvari u 2 sata ujutro. Javni endpoint se skenira neprekidno, zato držite upravljački port zatvoren, dozvolite samo VPN port i zakrpavajte po rasporedu. Sigurnosne grupe i provajderovi firewalli moraju propuštati taj port, a neki oblaci odbacuju proslijeđeni saobraćaj dok ne podesite provjeru izvora i odredišta na instanci.
Mala instanca pokriva šaču klijenata, ali enkripcija je CPU posao, a burstable instanca kojoj ponestane kredita ponaša se neravnomjerno pod trajnim opterećenjem. Gledajte put kojim stvarno idete, a ne specifikaciju.
Odluka koju možete zapisati
Zadatak odlučuje smještaj, ne etiketa na uređaju. Ako vam treba uređaj na kućnom LAN-u, najjeftiniji ispravan odgovor je endpoint kod kuće; cloud uređaj radi samo nakon što izgradite vezu natrag. Ako vam treba drugačiji javni izlaz, odgovor je cloud i pitanje LAN-a ne nastaje. Željeti oboje je legitimno, ali znači dva endpointa, dva skupa ključeva i dvije dokumentirane rute.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
Provjeravajte s klijenta po redu: rukovanje, adresa peer-a, LAN host, pa IP izlaza. curl -s https://ifconfig.me pokazuje šta vidi internet, a ip route get 192.168.1.20 pokazuje šta endpoint misli. Kada provjera izlaza prođe a provjera NAS-a visi, odgovor o smještaju već imate; podešavanje AllowedIPs na klijentu neće stvoriti rutu. Razdvojena linija poput 10.8.0.0/24, 192.168.1.0/24 drži LAN saobraćaj unutar tunela samo kada ta ruta stvarno postoji.