Server VPN shtëpiak kundrejt serverit në re: cili arrin NAS-in tuaj?

Tuneli ngrihet, klienti tregon një pikë të gjelbër, dhe ssh 192.168.1.20 vazhdon të varë derisa skadon koha. Pata saktësisht këtë përvojë pasi mora me qira një instancë të vogël në re dhe vendosa WireGuard mbi të: shtrëngimi i duarve në rregull, DNS në rregull, dhe NAS-i mbi tavolinën time po aq i paarritshëm sa të ishte në hënë. Tuneli nuk kishte asgjë të gabuar. Endpoint-i qëndronte në një rrjet pa rrugë drejt shtëpisë sime. Vendndodhja e endpoint-it përcakton cilat rrjete janë fqinje, prandaj zgjidhe sipas burimit që duhet të prekësh së pari dhe krahaso hostingun më pas.

Një tunel arrin vetëm rrjetet që endpoint-i mund të rrugëtojë

Një VPN i jep klientit një adresë brenda domenit të rrugëtimit të vetë endpoint-it. Kur klienti dërgon një paketë në 192.168.1.20, endpoint-i duhet të dijë ku shkon ajo. Tabela e një VM në re njeh nënrrjetet VPC të ofruesit; për LAN-in tënd nuk ka dëgjuar kurrë. I lidhur dhe i arritshëm janë dy fakte të ndryshme, dhe pjesa më e madhe e konfuzionit shtëpi-re vjen nga marrja e të parit si provë e të dytit.

Një komandë e zgjidh. Në endpoint, ip route get 192.168.1.20 ose emërton një ndërfaqe LAN ose tregon rrugën e paracaktuar. Në një makinë shtëpiake përgjigjja është ana LAN. Në një instancë në re paketa del drejt internetit dhe vdes. Aktivizimi i net.ipv4.ip_forward=1 dhe shtimi i një rregulli MASQUERADE nuk e ndryshon këtë, sepse nuk ka ku të përcillet derisa diçka nga ana e shtëpisë të përfundojë një lidhje drejt resë.

Rasti shtëpiak ka një gjysmë të dytë: rrugën e kthimit. Paketat që lënë LAN-in përmes kutisë së tunelit kalojnë nëpër NAT, ose LAN-i ka nevojë për një rrugë statike përsëri në nënrrjetin e tunelit. Kur funksionon vetëm një drejtim, kontrollo sysctl net.ipv4.conf.all.rp_filter. Filtrimi i rreptë i rrugës së kundërt hedh poshtë përgjigjet që mbërrijnë në një ndërfaqe tjetër nga ajo që parashikon rruga, dhe simptoma duket saktësisht si një rregull muri zjarri.

Lexo simptomën përpara se të prekësh konfigurimin

Tuneli nuk vendoset: çelësat, adresa e endpoint-it ose një port UDP i bllokuar. Tuneli lart, por hostet e LAN-it të vdekur: vendosja dhe rrugëtimi. Tuneli lart, por shfletimi i vdekur: përçimi, NAT ose DNS. Këto janë tre shtresa dhe tre kontrollime të ndryshme, dhe rishkrimi i një konfigurimi që ishte tashmë i saktë humb një mbrëmje.

Arritshmëria hyrëse nga shtëpia meriton një kontroll të vetin, sepse vendos nëse hosting-u në shtëpi është fare i mundur. Krahaso adresën WAN që raporton router-i me adresën që sheh një host i jashtëm. Nëse bie në 100.64.0.0/10, ose të dyja nuk përputhen, ju jeni pas NAT-it të operatorit dhe asnjë përcjellje porti nuk do të funksionojë kurrë. Opsionet reale janë një rele, një lidhje re që telefonon nga shtëpia drejt jashtë, ose zhvendosja e endpoint-it.

Çfarë të jep hosting-u në shtëpi dhe sa kushton

Shtëpia është vendosja e vetme që ndodhet brenda LAN-it si parazgjedhje, dhe ky është i gjithë arsyeja për të vënë një server atje. Pajisjet që përgjigjen vetëm në segmentin lokal, si printerat dhe faqet e administrimit të NAS-it që refuzojnë nënrrjeta jo-lokale, punojnë pa rrugëtim shtesë. Ju vetë administroni makinën, router-in dhe lidhjen.

Kostot janë fizike. Ngarkimi nga shtëpia është tavani për të gjithë klientët njëkohësisht, kështu që një thirrje video dhe një kopje rezervë konkurrojnë për të njëjtin tub. Energjia, konsumimi i diskut, arnimet, një adresë dinamike që kërkon DDNS, një router që duhet të përcjellë UDP nga brenda, dhe ndoshta NAT i dyfishtë bien të gjitha mbi ju. Ajo që njerëzit anashkalojnë është rikuperimi: nëse kutia vdes ndërsa ju jeni larg, rruga juaj e vetme në shtëpi vdes bashkë me të. Mbani një pajisje të dytë me të njëjtat çelësa, ose të paktën një plan për akses fizik.

Nëse dëshironi akses në LAN pa kutinë në shtëpi, ndërtoni një lidhje në vend që të shtireni. Endpoint-i në re bëhet router: një tunel nga ana e shtëpisë me AllowedIPs = 192.168.1.0/24 në peer-in e resë, plus përcjellje dhe NAT në kutinë e resë. Udhëzuesi i përcjelljes i strongSwan kalon nëpër gjysmën e kthimit të këtij konfigurimi, dhe pikërisht atje dështojnë shumica e këtyre përpjekjeve. Peer-i shtëpiak tani duhet të jetë lart që diçka të funksionojë, kështu që këmbyet një varësi me një tjetër dhe duhet ta shkruani atë.

Për çfarë shërben në të vërtetë një endpoint në re

Një endpoint në re ndryshon daljen tuaj publike. Trafiku del nga diapazoni i adresave të ofruesit, dhe faqet shohin atë adresë në vend të asaj të shtëpisë. Kjo është vlera, dhe për këtë arsye një VPN në re nuk ju jep NAS-in: ju zhvendosët daljen, jo LAN-in.

Ju vazhdoni të administroni sistemin e ftuar, shërbimin VPN dhe kredencialet e tij, ndërsa ofruesi administron hipervizorin dhe rrjetin fizik, dhe kjo ndarje ka rëndësi kur diçka prishet në orën 2 të mëngjesit. Një endpoint publik skanohet vazhdimisht, prandaj mbani portën e administrimit të mbyllur, lejoni vetëm portën VPN dhe vendosni arnime sipas një plani. Grupet e sigurisë dhe muret e zjarrit të ofruesit duhet ta lejojnë atë portë, dhe disa re ja hedhin poshtë trafikut të përcjellë nëse nuk rregulloni kontrollin e burimit dhe destinacionit në instancë.

Një instancë e vogël mbulon një grusht klientësh, por kriptimi është punë CPU, dhe një instancë burstable që i mbarojnë kreditë sillet në mënyrë të pabarabartë nën ngarkesë të vazhdueshme. Shiko rrugën që përdorni vërtet, jo fletën e specifikimeve.

Një vendim që mund ta shkruani

Detyra vendos vendosjen, jo etiketa mbi kuti. Nëse ju nevojitet një pajisje në LAN-in e shtëpisë, përgjigjja e saktë më e lirë është një endpoint në shtëpi; një kuti në re funksionon vetëm pasi të ndërtoni lidhjen e kthimit. Nëse ju nevojitet një dalje publike tjetër, përgjigjja është reja dhe pyetja për LAN-in nuk lind fare. Të duash të dyja është legjitime, por do të thotë dy endpoint-e, dy grupe çelësash dhe dy rrugë të dokumentuara.

Verifiko nga klienti me radhë: shtrëngimi i duarve, adresa e peer-it, një host LAN, pastaj IP-ja e daljes. curl -s https://ifconfig.me tregon çfarë sheh interneti, dhe ip route get 192.168.1.20 tregon çfarë mendon endpoint-i. Kur kontrolli i daljes kalon dhe kontrolli i NAS-it varet, përgjigjja për vendosjen tashmë është në dorë; rregullimi i AllowedIPs në klient nuk do të krijojë rrugë. Një rresht i ndarë si 10.8.0.0/24, 192.168.1.0/24 e mban trafikun e LAN-it brenda tunelit vetëm kur ajo rrugë ekziston vërtet.