Domáci VPN server verzus cloudový server: ktorý sa dostane k vášmu NAS?

Tunel sa nadviaže, klient zobrazí zelenú bodku a ssh 192.168.1.20 stále visí, kým nevyprší čas. Presne to som zažil, keď som si prenajal malú cloudovú inštanciu a nainštaloval na ňu WireGuard: handshake v poriadku, DNS v poriadku a NAS na mojom stole rovnako nedostupný, ako keby bol na Mesiaci. S tunelom nebolo nič zlé. Endpoint stál v sieti, ktorá nemá trasu k môjmu domu. Umiestnenie endpointu určuje, ktoré siete sú susedné, preto ho vyberte podľa zdroja, ku ktorému sa musíte dostať najskôr, a hosting porovnávajte až druhotne.

Tunel dosiahne len siete, ktoré endpoint dokáže smerovať

VPN pridelí klientovi adresu v rámci vlastnej smerovacej domény endpointu. Keď klient pošle paket na 192.168.1.20, endpoint musí vedieť, kam ide. Tabuľka cloudovej VM pozná podsiete VPC poskytovateľa; o vašej LAN nikdy nepočula. Pripojené a dostupné sú dva rôzne fakty a väčšina zmätku medzi domovom a cloudom pramení z toho, že sa prvé berie ako dôkaz druhého.

Jediný príkaz to rozhodne. Na endpointe ip route get 192.168.1.20 buď pomenuje rozhranie LAN, alebo ukáže na predvolenú trasu. Na domácom stroji je odpoveď strana LAN. Na cloudovej inštancii paket odíde k internetu a zomrie. Zapnutie net.ipv4.ip_forward=1 a pridanie pravidla MASQUERADE to nezmení, pretože nie je kam smerovať, kým niečo na domácej strane neukončí spojenie do cloudu.

Domáci prípad má druhú polovicu: spiatočnú cestu. Pakety opúšťajúce LAN cez tunelovú skrinku prechádzajú cez NAT, alebo LAN potrebuje statickú trasu späť do podsiety tunela. Keď funguje len jeden smer, skontrolujte sysctl net.ipv4.conf.all.rp_filter. Prísne filtrovanie spiatočnej cesty zahadzuje odpovede, ktoré prichádzajú na iné rozhranie, než trasa predpovedá, a príznak vyzerá presne ako pravidlo firewallu.

Prečítajte si príznak, kým sa dotknete konfigurácie

Tunel sa nenadviaže: kľúče, adresa endpointu alebo zablokovaný UDP port. Tunel beží, ale hostitelia LAN sú mŕtvi: umiestnenie a smerovanie. Tunel beží, ale prehliadanie je mŕtve: preposielanie, NAT alebo DNS. To sú tri vrstvy a tri rôzne kontroly, a prepisovanie už správnej konfigurácie premrhá večer.

Prichádzajúca dostupnosť z domu si zaslúži vlastnú kontrolu, pretože rozhoduje, či je hostovanie doma vôbec možné. Porovnajte WAN adresu, ktorú hlási router, s adresou, ktorú vidí externý hostiteľ. Ak spadne do 100.64.0.0/10 alebo sa obe nezhodujú, ste za carrier-grade NAT a žiadne presmerovanie portu nikdy nebude fungovať. Skutočné možnosti sú relay, cloudové spojenie, ktoré volá z domu von, alebo presun endpointu.

Čo domáce hostovanie prináša a čo stojí

Domov je jediné umiestnenie, ktoré je predvolene vnútri LAN, a to je celý dôvod umiestniť tam server. Zariadenia, ktoré odpovedajú len na lokálnom segmente, ako tlačiarne a administrátorské stránky NAS, ktoré odmietajú nelokálne podsiety, fungujú bez ďalšieho smerovania. Stroj, router a pripojenie tiež obsluhujete sami.

Náklady sú fyzické. Domáci upload je strop pre všetkých klientov naraz, takže videohovor a záloha súperia o tú istú rúru. Elektrina, opotrebenie disku, záplaty, dynamická adresa, ktorá potrebuje DDNS, router, ktorý musí preposielať UDP dovnútra, a prípadný dvojitý NAT — to všetko padá na vás. Čo ľudia vynechávajú, je obnova: ak skrinka zomrie, kým ste preč, zomrie s ňou aj vaša jediná cesta domov. Držte druhé zariadenie s rovnakými kľúčmi alebo aspoň plán fyzického prístupu.

Ak chcete prístup do LAN bez skrinky doma, postavte spojenie namiesto predstierania. Cloudový endpoint sa stane routerom: tunel z domácej strany s AllowedIPs = 192.168.1.0/24 na cloudovom peere, plus preposielanie a NAT na cloudovej skrinke. Návod strongSwan na preposielanie prechádza spiatočnou polovicou tohto nastavenia a práve tam väčšina týchto pokusov zlyháva. Domáci peer teraz musí byť hore, aby čokoľvek fungovalo, takže ste vymenili jednu závislosť za inú a mali by ste si to zapísať.

Na čo cloudový endpoint vlastne je

Cloudový endpoint mení váš verejný výstup. Prevádzka odchádza z rozsahu adries poskytovateľa a stránky vidia túto adresu namiesto domácej. V tom je hodnota, a preto vám cloudová VPN nedá NAS: presunuli ste výstup, nie LAN.

Stále spravujete hosťovský systém, službu VPN a jej prihlasovacie údaje, kým poskytovateľ spravuje hypervizor a fyzickú sieť, a toto rozdelenie je dôležité, keď sa niečo pokazí o 2 ráno. Verejný endpoint je nepretržite skenovaný, preto držte riadiaci port zatvorený, povoľte len port VPN a záplatujte podľa plánu. Bezpečnostné skupiny a firewally poskytovateľa musia tento port povoliť a niektoré cloudy zahadzujú preposielanú prevádzku, kým na inštancii nenastavíte kontrolu zdroja a cieľa.

Malá inštancia pokryje hrsť klientov, ale šifrovanie je práca CPU a burstable inštancia, ktorej došli kredity, sa pri trvalej záťaži správa nerovnomerne. Sledujte cestu, ktorú naozaj používate, nie špecifikačný list.

Rozhodnutie, ktoré si môžete zapísať

Umiestnenie určuje úloha, nie etiketa na skrinke. Ak potrebujete zariadenie v domácej LAN, najlacnejšia správna odpoveď je endpoint doma; cloudová skrinka funguje až po tom, čo postavíte spiatočné spojenie. Ak potrebujete iný verejný výstup, odpoveď je cloud a otázka LAN vôbec nevzniká. Chcieť oboje je legitímne, ale znamená to dva endpointy, dve sady kľúčov a dve zdokumentované trasy.

Overujte z klienta po poradí: handshake, adresa peeru, hostiteľ LAN, potom IP výstupu. curl -s https://ifconfig.me ukazuje, čo vidí internet, a ip route get 192.168.1.20 ukazuje, čo si endpoint myslí. Keď kontrola výstupu prejde a kontrola NAS visí, odpoveď o umiestnení už máte; nastavenie AllowedIPs na klientovi trasu nevytvorí. Rozdelený riadok ako 10.8.0.0/24, 192.168.1.0/24 udrží prevádzku LAN v tuneli len vtedy, keď tá trasa naozaj existuje.