Doseganje domače naprave prek VPN za oddaljeni dostop: pet vrat

Komercialni VPN z internetnim izhodom skriva vaš naslov; ne poveže vas z vašim lastnim domom. Za doseganje NAS ali tiskalnika v domačem omrežju potrebujete prehod v tem omrežju in odjemalca, ki do njega zgradi tunel. Nato mora paket prestati pet preverjanj, in kakršna koli njihova napaka je od zunaj videti enako.

Vrata 1: odjemalec mora izbrati tunel

Preverite, ali se ciljna predpona na odjemalcu res usmerja v tunel. Profil razdeljenega tunela, ki pošilja le lastno podomrežje VPN, bo poslal 192.168.x.x naravnost iz lokalnega vmesnika, kjer ne pride nikamor. Poglejte usmerjevalno tabelo odjemalca, ne imena profila.

To je najpogostejša napaka pri telefonskih odjemalcih, ki pogosto privzeto pošiljajo le DNS ali le eno predpono. Če poti ni, je rokovanje lahko brezhibno, naprava pa vseeno nedosegljiva.

Pred nadaljevanjem potrdite, da se naslov bazena odjemalca in domače podomrežje ne prekrivata.

Vrata 2: prehod mora posredovati

VPN se konča na gostitelju, ki mora posredovati dešifriran paket v LAN. To zahteva omogočeno posredovanje IP in pravilo požarnega zidu, ki dovoljuje tok z vmesnika VPN na vmesnik LAN. Na usmerjevalniku je to običajno vgrajeno; na Linux napravi s strongSwan ali WireGuard sta to dve nastavitvi, ki ju ljudje pozabijo. Preverite obe pred testiranjem storitve, ker vsaka sama daje enak časovni limit.

Testirajte s zajemom na vmesniku LAN, ker je bil paket, ki se tam nikoli ne pojavi, zavržen ali nikoli posredovan.

To je drugačna napaka kot pri storitvi, ki povezavo zavrne, in ta razlika prihrani veliko časa. Dovoljenje naj bo ozko, omejeno na storitev in bazen VPN, ne na celo podomrežje.

Vrata 3: pot odgovora odloča o vsem

Cilj odgovarja na izvorni naslov, ki ga je videl, to pa je bodisi naslov bazena odjemalca bodisi prehod, odvisno od tega, ali prevajate. Če je privzeti prehod cilja domači usmerjevalnik in ta nima poti do bazena VPN, odgovor odide prek interneta in umre. To je klasična enosmerna povezava.

Obstajata dve zakoniti rešitvi: dodati pot za bazen na prehodu LAN ali izvesti source-NAT na prehodu VPN, da cilj vedno vidi le naslov prehoda. Druga je lažja in izgubi prvotno identiteto vira.

Zavestno izberite eno in zapišite katero, ker so pravila požarnega zidu in dnevniki odvisni od tega. Vodnik strongSwan za posredovanje prehodi skozi linuxovsko stran te odločitve.

Vrata 4: imena in prekrivanje predpon

Lokalna imena odkrivanja ne prečkajo usmerjene meje, zato je naprava, ki se v hiši prikaže s prijaznim imenom, lahko skozi tunel nevidna. Zagotovite DNS za zasebno območje ali dokumentirajte naslov. Katero koli ime uporabite, mora razrešiti v nekaj, kar lahko oddaljeni odjemalec usmeri. Zato je lahko naprava hkrati dosegljiva po naslovu in nevidna po imenu.

Prekrivajoče se predpone so druga past: če je bazen odjemalca 192.168.1.0/24 in domače omrežje tudi, odjemalec cilj obravnava kot lokalni in ga nikoli ne pošlje skozi tunel.

Preštevilčite eno stran ali uporabite bazen iz obsega, s katerim se doma nikoli ne srečate.

Vrata 5: testirajte od zunaj hiše

Preizkus iz kuhinje ničesar ne dokaže, ker promet morda nikoli ne zapusti LAN. Povežite se z mobilne dostopne točke ali drugega omrežja, nato pojdite skozi vrata po vrsti: pot na odjemalcu, zajem na vmesniku LAN, odgovor storitve, zajem odgovora in razreševanje imen. Prva vrata, ki ne dajo dokaza, so mesto, kjer je delo.

Če storitev odgovori, ime pa ne, imate težavo z DNS in ne s tunelom.

Delujočo konfiguracijo shranite v opombo z bazenom, potjo in izbiro NAT, ker bo naslednja zamenjava usmerjevalnika ponastavila vse tri.