Domači VPN-strežnik proti strežniku v oblaku: kateri doseže vaš NAS?

Predor se dvigne, odjemalec pokaže zeleno piko, in ssh 192.168.1.20 še vedno visi, dokler ne poteče čas. Točno to sem doživel, ko sem najel majhno oblačno instanco in nanjo namestil WireGuard: rokovanje v redu, DNS v redu, in NAS na moji mizi prav tako nedosegljiv, kot da bi bil na Luni. S predorom ni bilo nič narobe. Endpoint je stal v omrežju brez poti do moje hiše. Lokacija endpointa odloča, katera omrežja so sosednja, zato jo izberite po viru, do katerega morate priti najprej, gostovanje pa primerjajte šele nato.

Predor doseže le omrežja, ki jih endpoint zna usmerjati

VPN da odjemalcu naslov znotraj lastne usmerjevalne domene endpointa. Ko odjemalec pošlje paket na 192.168.1.20, mora endpoint vedeti, kam gre. Tabela oblačne VM pozna podomrežja VPC ponudnika; o vašem LANu ni nikoli slišala. Povezan in dosegljiv sta dve različni dejstvi, in večina zmede med domom in oblakom izvira iz tega, da prvo vzamemo kot dokaz za drugo.

Ena ukaz to razreši. Na endpointu ip route get 192.168.1.20 bodisi poimenuje vmesnik LAN bodisi pokaže na privzeto pot. Na domačem stroju je odgovor stran LAN. Na oblačni instanci paket odide proti internetu in umre. Vklop net.ipv4.ip_forward=1 in dodajanje pravila MASQUERADE tega ne spremeni, ker ni kam posredovati, dokler nekaj na domači strani ne zaključi povezave v oblak.

Domači primer ima drugo polovico: pot nazaj. Paketi, ki zapustijo LAN skozi škatlo predora, gredo skozi NAT, ali pa LAN potrebuje statično pot nazaj v podomrežje predora. Ko deluje le ena smer, preverite sysctl net.ipv4.conf.all.rp_filter. Strogo filtriranje povratne poti zavrže odgovore, ki prispejo na drug vmesnik, kot ga napove pot, in simptom je videti natanko kot pravilo požarnega zidu.

Preberite simptom, preden se dotaknete konfiguracije

Predor se ne vzpostavi: ključi, naslov endpointa ali blokirana vrata UDP. Predor gor, a gostitelji LAN mrtvi: namestitev in usmerjanje. Predor gor, a brskanje mrtvo: posredovanje, NAT ali DNS. To so tri plasti in tri različna preverjanja, prepisovanje že pravilne konfiguracije pa zapravi večer.

Dosegljivost od zunaj do doma si zasluži lastno preverjanje, ker odloča, ali je gostovanje doma sploh mogoče. Primerjajte naslov WAN, ki ga poroča usmerjevalnik, z naslovom, ki ga vidi zunanji gostitelj. Če pade v 100.64.0.0/10 ali se oba ne ujemata, ste za carrier-grade NAT in nobeno posredovanje vrat ne bo nikoli delovalo. Prave možnosti so rele, oblačna povezava, ki kliče od doma navzven, ali premik endpointa.

Kaj gostovanje doma prinese in koliko stane

Dom je edina namestitev, ki je privzeto znotraj LANa, in to je ves razlog za strežnik tam. Naprave, ki odgovarjajo le na lokalnem segmentu, kot so tiskalniki in skrbniške strani NAS, ki zavračajo nelokalna podomrežja, delujejo brez dodatnega usmerjanja. Tudi stroj, usmerjevalnik in povezavo upravljate sami.

Stroški so fizični. Domači upload je zgornja meja za vse odjemalce hkrati, zato se video klic in varnostna kopija potegujeta za isto cev. Elektrika, obraba diska, popravki, dinamični naslov, ki potrebuje DDNS, usmerjevalnik, ki mora posredovati UDP navznoter, in morda dvojni NAT — vse to pade na vas. Kar ljudje preskočijo, je obnovitev: če škatla umre, ko vas ni, z njo umre tudi vaša edina pot domov. Imajte drugo napravo z istimi ključi ali vsaj načrt za fizični dostop.

Če želite dostop do LANA brez škatle doma, zgradite povezavo, namesto da se pretvarjate. Oblačni endpoint postane usmerjevalnik: predor z domače strani z AllowedIPs = 192.168.1.0/24 na oblačnem peeru, plus posredovanje in NAT na oblačni škatli. Vodnik strongSwan za posredovanje prehodi povratno polovico te postavitve in prav tam odpove večina teh poskusov. Domači peer mora zdaj biti gor, da karkoli deluje, torej ste eno odvisnost zamenjali za drugo in to bi morali zapisati.

Čemu je oblačni endpoint pravzaprav namenjen

Oblačni endpoint spremeni vaš javni izhod. Promet odhaja iz naslovnega obsega ponudnika in spletna mesta vidijo ta naslov namesto domačega. V tem je vrednost in zato vam oblačni VPN ne da NASa: premaknili ste izhod, ne LANA.

Še vedno upravljate gostujoči sistem, storitev VPN in njene poverilnice, medtem ko ponudnik upravlja hipervizor in fizično omrežje, in ta delitev šteje, ko se ob 2 zjutraj kaj pokvari. Javni endpoint je nenehno skeniran, zato imejte upravljalna vrata zaprta, dovolite le vrata VPN in popravljajte po urniku. Varnostne skupine in požarni zidovi ponudnika morajo dovoliti ta vrata, nekatere oblake pa zavržejo posredovani promet, če na instanci ne prilagodite preverjanja vira in cilja.

Majhna instanca pokrije peščico odjemalcev, a šifriranje je delo CPU in burstable instanca, ki ji zmanjka kreditov, se pri trajni obremenitvi obnaša neenakomerno. Glejte pot, ki jo res uporabljate, ne podatkovnega lista.

Odločitev, ki jo lahko zapišete

Namestitev določi naloga, ne nalepka na škatli. Če potrebujete napravo v domačem LANu, je najcenejši pravilen odgovor endpoint doma; oblačna škatla deluje šele po tem, ko zgradite povratno povezavo. Če potrebujete drug javni izhod, je odgovor oblak in vprašanje LANA se sploh ne pojavi. Želeti oboje je legitimno, a pomeni dva endpointa, dva nabora ključev in dve dokumentirani poti.

Preverjajte z odjemalca po vrsti: rokovanje, naslov peera, gostitelj LAN, nato IP izhoda. curl -s https://ifconfig.me pokaže, kaj vidi internet, in ip route get 192.168.1.20 pokaže, kaj misli endpoint. Ko preverjanje izhoda uspe in preverjanje NASa visi, imate odgovor o namestitvi že v roki; prilagajanje AllowedIPs na odjemalcu ne bo ustvarilo poti. Razdeljena vrstica, kot je 10.8.0.0/24, 192.168.1.0/24 obdrži promet LANA v predoru le, ko ta pot res obstaja.