ගෘහ VPN සේවාදායකයද ක්ලවුඩ් සේවාදායකයද: ඔබේ NAS වෙත ළඟා වන්නේ කුමක්ද?
ටනලය ඉහළට එයි, නමුත් ගෘහ NAS වෙත ළඟා විය නොහැකිව පවතී. ඔබ ස්පර්ශ කළ යුතු සම්පත් අනුව endpoint ස්ථානය තෝරන්න, පසුව මාර්ගය පරීක්ෂා කරන්න.
ටනලය ඉහළට එයි, සේවාලාභියා හරිත තිතක් පෙන්වයි, සහ ssh 192.168.1.20 තවමත් කාලය ඉකුත් වන තුරු එල්ලී පවතී. කුඩා ක්ලවුඩ් අවස්ථාවක් කුලියට ගෙන එය මත WireGuard දැමූ පසු මට හරියටම මෙය සිදු විය: අත්වැල හොඳයි, DNS හොඳයි, සහ මගේ මේසයේ ඇති NAS චන්ද්‍රයා මත ඇතිවාක් මෙන් ළඟා විය නොහැකි ය. ටනලයේ කිසිදු දෝෂයක් නොවීය. Endpoint මගේ නිවසට මාර්ගයක් නොමැති ජාලයක තිබුණි. Endpoint ස්ථානය තීරණය කරන්නේ කුමන ජාල යාබදද යන්නය, එබැවින් පළමුව ස්පර්ශ කළ යුතු සම්පත් අනුව එය තෝරන්න, සත්කාරකත්වය දෙවනුව සසඳන්න.
ටනලය ළඟා වන්නේ endpoint මාර්ගගත කළ හැකි ජාලවලට පමණි
VPN ඔබේ සේවාලාභියාට endpoint හිම මාර්ගගත කිරීමේ වසම තුළ ලිපිනයක් ලබා දෙයි. සේවාලාභියා 192.168.1.20 වෙත පැකට්ටුවක් යවන විට, එය කොහේ යනවාදැයි endpoint දැනගත යුතුය. ක්ලවුඩ් VM වගුව සැපයුම්කරුගේ VPC උපජාල දනී; ඔබේ LAN ගැන එය කිසිදා අසා නැත. සම්බන්ධ වීම සහ ළඟා වීම වෙනස් කරුණු දෙකකි, සහ ගෘහ හා ක්ලවුඩ් අතර ව්‍යාකූලතාවයෙන් වැඩි කොටසක් පළමුවැන්න දෙවැන්නට සාක්ෂියක් ලෙස ගැනීමෙන් එයි.
එක් විධානයක් එය තීරණය කරයි. Endpoint හි ip route get 192.168.1.20 LAN අතුරුමුහුණතක් නම් කරයි හෝ පෙරනිමි මාර්ගයට යොමු කරයි. ගෘහ මැෂිමක පිළිතුර LAN පැත්තයි. ක්ලවුඩ් අවස්ථාවක පැකට්ටුව අන්තර්ජාලය දෙසට පිටවී මිය යයි. net.ipv4.ip_forward=1 සක්‍රීය කිරීම සහ MASQUERADE නියමයක් එකතු කිරීම එය වෙනස් නොකරයි, මන්ද ගෘහ පැත්තෙන් යමක් ක්ලවුඩයට සම්බන්ධයක් අවසන් නොකරන තුරු ඉදිරියට යැවීමට කිසිවක් නැත.
ගෘහ අවස්ථාවට දෙවන අර්ධයක් ඇත: ආපසු මාර්ගය. ටනල් පෙට්ටිය හරහා LAN හැර යන පැකට්ටු NAT වේ, නැතහොත් LAN ට ටනල් උපජාලය වෙත ආපසු ස්ථිතික මාර්ගයක් අවශ්‍ය වේ. එක් දිශාවක් පමණක් ක්‍රියා කරන විට, පරීක්ෂා කරන්න sysctl net.ipv4.conf.all.rp_filter. දැඩි ප්‍රතිලෝම මාර්ග පෙරහන මාර්ගය අපේක්ෂා කරන එකට වඩා වෙනස් අතුරුමුහුණතකට පැමිණෙන පිළිතුරු ඉවත ලන අතර, රෝග ලක්ෂණය හරියටම ගිනිපවුරු නියමයක් මෙන් පෙනේ.
වින්‍යාසය ස්පර්ශ කිරීමට පෙර රෝග ලක්ෂණය කියවන්න
ටනලය සෑදෙන්නේ නැත: යතුරු, endpoint ලිපිනය හෝ අවහිර කළ UDP පෝට්ටුව. ටනලය ඉහළ නමුත් LAN සත්කාරක මිය ගොස්: ස්ථානගත කිරීම සහ මාර්ගගත කිරීම. ටනලය ඉහළ නමුත් බ්‍රවුස් කිරීම මිය ගොස්: ඉදිරියට යැවීම, NAT හෝ DNS. ඒවා ස්තර තුනක් සහ වෙනස් පරීක්ෂණ තුනක් වන අතර, දැනටමත් නිවැරදි වින්‍යාසයක් නැවත ලිවීම සන්ධ්‍යාවක් නාස්ති කරයි.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
ගෘහයෙන් ඇතුළට ළඟා වීමට වෙනම පරීක්ෂාවක් අවශ්‍යය, මන්ද ගෘහයේ සත්කාරකත්වය කළ හැකිද යන්න එය තීරණය කරයි. ඔබේ රවුටරය වාර්තා කරන WAN ලිපිනය බාහිර සත්කාරකයක් දකින ලිපිනය සමඟ සසඳන්න. එය 100.64.0.0/10 තුළ වැටේ නම්, හෝ දෙක නොගැළපේ නම්, ඔබ carrier-grade NAT පිටුපස සිටින අතර කිසිදු පෝට්ටු යැවීමක් කිසිදා ක්‍රියා නොකරයි. සැබෑ විකල්ප වන්නේ රිලේ, ගෘහයෙන් පිටතට අමතන ක්ලවුඩ් සම්බන්ධය, හෝ endpoint ගෙන යාමයි.
ගෘහ සත්කාරකත්වය ලබා දෙන්නේ කුමක්ද, එහි පිරිවැය කුමක්ද
ගෘහය පෙරනිමියෙන් LAN තුළ පිහිටන එකම ස්ථානයයි, සහ එහි සේවාදායකයක් තැබීමට ඇති සම්පූර්ණ හේතුව එයයි. දේශීය කොටසේ පමණක් පිළිතුරු දෙන උපාංග, උදාහරණයක් ලෙස මුද්‍රණ යන්ත්‍ර සහ දේශීය නොවන උපජාල ප්‍රතික්ෂේප කරන NAS පරිපාලන පිටු, අමතර මාර්ගගත කිරීමකින් තොරව ක්‍රියා කරයි. යන්ත්‍රය, රවුටරය සහ ඉහළ සම්බන්ධතාවයද ඔබම ක්‍රියාත්මක කරයි.
පිරිවැය භෞතිකය. ගෘහ උඩුගත කිරීම සියලු සේවාලාභීන්ට එකවර උපරිමයයි, එබැවින් වීඩියෝ ඇමතුමක් සහ උපස්ථයක් එකම නළය සඳහා තරඟ කරයි. විදුලිය, තැටි ගෙවීම, පැච්, DDNS අවශ්‍ය ගතික ලිපිනයක්, UDP ඇතුළට යැවිය යුතු රවුටරයක් සහ සමහරවිට ද්විත්ව NAT — සියල්ල ඔබ මතට වැටේ. මිනිසුන් මඟ හරින දෙය නම් ප්‍රතිසාධනයයි: ඔබ නොමැති විට පෙට්ටිය මිය ගියොත්, ඔබේ එකම මාර්ගයද එය සමඟ මිය යයි. එකම යතුරු සහිත දෙවන උපාංගයක්, නැතහොත් අවම වශයෙන් භෞතික ප්‍රවේශ සැලසුමක් තබා ගන්න.
ගෘහයේ පෙට්ටියක් නොමැතිව LAN ප්‍රවේශය අවශ්‍ය නම්, අභිනය කරනවා වෙනුවට සම්බන්ධයක් ගොඩනගන්න. ක්ලවුඩ් endpoint එක රවුටරයක් බවට පත් වේ: ගෘහ පැත්තෙන් AllowedIPs = 192.168.1.0/24 සමඟ ක්ලවුඩ් peer වෙත ටනලයක්, සමඟම ක්ලවුඩ් පෙට්ටියේ ඉදිරියට යැවීම සහ NAT. strongSwan හි ඉදිරියට යැවීමේ මාර්ගෝපදේශය එම සැකසුමේ ආපසු අර්ධය විස්තර කරයි, සහ එහිදී මෙම උත්සාහවලින් බොහොමයක් අසාර්ථක වේ. ගෘහ peer එක දැන් කිසිවක් ක්‍රියා කිරීමට ඉහළින් සිටිය යුතුය, එනම් ඔබ එක් යැපීමක් තවත් එකක් සමඟ මාරු කළ අතර එය ලියා තැබිය යුතුය.
ක්ලවුඩ් endpoint ඇත්තටම කුමක් සඳහාද
ක්ලවුඩ් endpoint ඔබේ පොදු පිටවීම වෙනස් කරයි. ගමන් ප්‍රවාහය සැපයුම්කරුගේ ලිපින පරාසයෙන් පිටවේ, සහ අඩවි ඔබේ ගෘහ ලිපිනය වෙනුවට එම ලිපිනය දකී. වටිනාකම එහි ඇත, සහ එබැවින් ක්ලවුඩ් VPN ඔබට NAS ලබා නොදේ: ඔබ පිටවීම ගෙන ගියා මිස LAN නොවේ.
ඔබ තවමත් අමුත්තන් පද්ධතිය, VPN සේවාව සහ එහි අක්තපත්‍ර ක්‍රියාත්මක කරන අතර සැපයුම්කරු hypervisor සහ භෞතික ජාලය ක්‍රියාත්මක කරයි, සහ රාත්‍රී 2 ට යමක් කැඩී ගිය විට මෙම බෙදීම වැදගත් වේ. පොදු endpoint නිරන්තරයෙන් ස්කෑන් කෙරේ, එබැවින් කළමනාකරණ පෝට්ටුව වසා තබන්න, VPN පෝට්ටුවට පමණක් අවසර දෙන්න, සහ කාලසටහනකට අනුව පැච් කරන්න. ආරක්ෂක කණ්ඩායම් සහ සැපයුම්කරුගේ ගිනිපවුරු එම පෝට්ටුවට අවසර දිය යුතුය, සහ සමහර ක්ලවුඩ් අවස්ථාවේ මූලාශ්‍ර-ගමනාන්ත පරීක්ෂාව සකසා නොගත්තොත් ඉදිරියට යැවූ ප්‍රවාහය ඉවත ලයි.
කුඩා අවස්ථාවක් අතලොස්සක් සේවාලාභීන් ආවරණය කරයි, නමුත් සංකේතනය CPU කාර්යයකි, සහ ණය අවසන් වූ burstable අවස්ථාවක් නිරන්තර බර යටතේ අසමාන ලෙස හැසිරේ. පිරිවිතර පත්‍රය නොව, ඔබ සැබවින්ම භාවිතා කරන මාර්ගය බලන්න.
ලියා තැබිය හැකි තීරණයක්
ස්ථානගත කිරීම තීරණය කරන්නේ කාර්යය මිස පෙට්ටියේ ලේබලය නොවේ. ඔබේ ගෘහ LAN හි උපාංගයක් අවශ්‍ය නම්, ලාභම නිවැරදි පිළිතුර ගෘහයේ endpoint එකකි; ආපසු සම්බන්ධය ගොඩනැගීමෙන් පසුව පමණක් ක්ලවුඩ් පෙට්ටිය ක්‍රියා කරයි. වෙනත් පොදු පිටවීමක් අවශ්‍ය නම්, පිළිතුර ක්ලවුඩ් වන අතර LAN ප්‍රශ්නය කිසිසේත් මතු නොවේ. දෙකම අවශ්‍ය වීම නීත්‍යානුකූලය, නමුත් එහි අර්ථය endpoint දෙකක්, යතුරු කට්ටල දෙකක් සහ ලේඛනගත මාර්ග දෙකක් ය.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
සේවාලාභියාගෙන් පිළිවෙලට තහවුරු කරන්න: අත්වැල, peer ලිපිනය, LAN සත්කාරකයක්, පසුව පිටවීමේ IP. curl -s https://ifconfig.me අන්තර්ජාලය දකින දේ පෙන්වයි, සහ ip route get 192.168.1.20 endpoint විශ්වාස කරන දේ පෙන්වයි. පිටවීමේ පරීක්ෂාව සමත් වී NAS පරීක්ෂාව එල්ලෙන විට, ස්ථානගත කිරීම ගැන පිළිතුර ඔබ සතුව දැනටමත් ඇත; සේවාලාභියා මත AllowedIPs වෙනස් කිරීමෙන් මාර්ගයක් නොසෑදේ. 10.8.0.0/24, 192.168.1.0/24 වැනි බෙදුණු පේළියක් LAN ප්‍රවාහය ටනලය තුළ තබන්නේ එම මාර්ගය සැබවින්ම පවතින විට පමණි.