Dosiahnuť domáce zariadenie cez VPN vzdialeného prístupu: päť brán

Komerčná VPN s internetovým výstupom skrýva vašu adresu; neprepojí vás s vaším vlastným domovom. Na dosiahnutie NAS alebo tlačiarne v domácej sieti potrebujete bránu, ktorá v tejto sieti sedí, a klienta, ktorý k nej postaví tunel. Potom musí paket prejsť piatimi kontrolami a akékoľvek zlyhanie ktorejkoľvek z nich vyzerá zvonka rovnako.

Brána 1: klient musí zvoliť tunel

Skontrolujte, či sa cieľový prefix na klientovi skutočne smeruje do tunela. Profil rozdeleného tunela, ktorý posiela len vlastnú podsiet VPN, pošle 192.168.x.x priamo z lokálneho rozhrania, kde nikam nedôjde. Pozerajte sa na smerovaciu tabuľku klienta, nie na názov profilu.

Je to najčastejšie zlyhanie pri telefónnych klientoch, ktoré často predvolene posielajú len DNS alebo len jeden prefix. Ak trasa chýba, podanie ruky môže byť dokonalé a zariadenie napriek tomu nedostupné.

Pred pokračovaním overte, že adresa poolu klienta a domáca podsiet sa neprekrývajú.

Brána 2: brána musí preposielať

VPN končí na hostiteľovi, ktorý musí preposlať dešifrovaný paket do LAN. To vyžaduje zapnuté preposielanie IP a pravidlo firewallu, ktoré povoľuje tok z rozhrania VPN do rozhrania LAN. Na routeri to býva vstavané; na Linux boxe so strongSwan alebo WireGuard sú to dve nastavenia, na ktoré ľudia zabúdajú. Skontrolujte obe pred testovaním služby, pretože každé samo dáva rovnaký časový limit.

Testujte so zachytením na rozhraní LAN, pretože paket, ktorý sa tam nikdy neobjaví, bol zahodený alebo nikdy preposlaný.

Je to iné zlyhanie než služba, ktorá spojenie odmieta, a tento rozdiel šetrí veľa času. Držte povolenie úzke, obmedzené na službu a pool VPN, nie na celú podsiet.

Brána 3: cesta späť rozhoduje o všetkom

Cieľ odpovedá na zdrojovú adresu, ktorú videl, čo je buď adresa poolu klienta, alebo brána, podľa toho, či prekladáte. Ak je predvolenou bránou cieľa domáci router a ten nemá trasu do poolu VPN, odpoveď odíde cez internet a zomrie. To je klasické jednosmerné spojenie.

Existujú dve legitímne riešenia: pridať trasu pre pool na bráne LAN, alebo zapnúť source-NAT na bráne VPN, aby cieľ videl vždy len adresu brány. Druhé je jednoduchšie a stráca pôvodnú identitu zdroja.

Vyberte jedno vedome a zapíšte ktoré, pretože pravidlá firewallu a logy od toho závisia. Príručka preposielania strongSwan prechádza linuxovou stranou tohto rozhodnutia.

Brána 4: názvy a prekryv prefixov

Lokálne názvy objavovania neprekračujú smerovanú hranicu, takže zariadenie, ktoré sa v dome javí ako priateľský názov, môže byť cez tunel neviditeľné. Zabezpečte DNS pre privátnu zónu alebo adresu zdokumentujte. Akýkoľvek názov použijete, musí sa preložiť na niečo, čo vzdialený klient vie smerovať. Preto môže byť zariadenie dostupné podľa adresy a zároveň neviditeľné podľa názvu.

Prekrývajúce sa prefixy sú druhá pasca: ak je pool klienta 192.168.1.0/24 a domáca sieť tiež, klient považuje cieľ za lokálny a nikdy ho tunelom nepošle.

Prečíslujte jednu stranu, alebo použite pool z rozsahu, s ktorým sa doma nikdy nestretnete.

Brána 5: testujte zvonku domu

Test z kuchyne nič nedokazuje, pretože prevádzka nemusí nikdy opustiť LAN. Pripojte sa z mobilného hotspotu alebo inej siete a prejdite brány v poradí: trasa na klientovi, zachytenie na rozhraní LAN, odpoveď služby, zachytenie odpovede a preklad názvov. Prvá brána, ktorá neposkytne dôkaz, je miestom práce.

Ak služba odpovedá, ale názov nie, máte problém s DNS, nie s tunelom.

Uchovajte funkčnú konfiguráciu v poznámke s poolom, trasou a voľbou NAT, pretože najbližšia výmena routera resetuje všetky tri.