Долазак до кућног уређаја преко VPN-а за даљински приступ: пет капија

Комерцијални VPN за излаз на интернет скрива вашу адресу; не повезује вас са вашим сопственим домом. Долазак до NAS-а или штампача на кућној мрежи захтева пролаз који се налази на тој мрежи и клијента који према њему гради тунел. Затим пакет мора да прође пет провера, и сваки њихов неуспех споља изгледа исто.

Капија 1: клијент мора да изабере тунел

Проверите да ли се префикс одредишта заиста усмерава у тунел на клијенту. Профил подељеног тунела који шаље само сопствену подмрежу VPN-а послаће 192.168.x.x право из локалног интерфејса, где нигде не стиже. Гледајте табелу усмеравања клијента, а не име профила.

То је најчешћи неуспех код телефонских клијената, који често подразумевано шаљу само DNS или само један префикс. Ако рута недостаје, руковање може бити савршено, а уређај ипак недоступан.

Пре него што наставите, потврдите да се адреса клијентског пула и кућна подмрежа не преклапају.

Капија 2: пролаз мора да прослеђује

VPN се завршава на хосту који мора да проследи дешифровани пакет на LAN. То захтева омогућено IP прослеђивање и правило заштитног зида које дозвољава ток са интерфејса VPN на интерфејс LAN. На рутеру је то обично уграђено; на Linux кутији са strongSwan или WireGuard то су две поставке које људи забораве. Проверите обе пре тестирања услуге, јер свака сама даје исти тајмаут.

Тестирајте са снимком на LAN интерфејсу, јер пакет који се тамо никада не појави био је одбачен или никада прослеђен.

То је другачији неуспех од услуге која одбија везу, и та разлика штеди много времена. Држите дозволу уску, ограничену на услугу и VPN пул, а не на целу подмрежу.

Капија 3: пут одговора одлучује о свему

Циљ одговара на изворну адресу коју је видео, а то је или адреса клијентског пула или пролаз, зависно од тога да ли преводите. Ако је подразумевани пролаз циља кућни рутер и тај рутер нема руту до VPN пула, одговор излази преко интернета и умире. То је класична једносмерна веза.

Постоје два легитимна решења: додати руту за пул на LAN пролазу или укључити source-NAT на VPN пролазу тако да циљ увек види само адресу пролаза. Друго је лакше и губи изворни идентитет извора.

Изаберите једно намерно и запишите које, јер правила заштитног зида и дневници зависе од тога. strongSwan водич за прослеђивање пролази кроз Linux страну те одлуке.

Капија 4: имена и преклапање префикса

Локална имена откривања не прелазе усмерену границу, па уређај који се унутар куће појављује као пријатељско име може бити невидљив преко тунела. Обезбедите DNS за приватну зону или документујте адресу. Које год име користили, оно мора да се разреши у нешто што удаљени клијент може да усмери. Зато уређај може бити доступан по адреси и невидљив по имену истовремено.

Преклапајући префикси су друга замка: ако је клијентски пул 192.168.1.0/24 и кућна мрежа такође, клијент одредиште третира као локално и никада га не шаље кроз тунел.

Пренумеришите једну страну или користите пул из опсега са којим се код куће никада нећете срести.

Капија 5: тестирајте изван куће

Тест из кухиње ништа не доказује, јер саобраћај можда никада не напусти LAN. Повежите се са мобилног хотспота или друге мреже, затим прођите кроз капије редом: рута на клијенту, снимак на LAN интерфејсу, одговор услуге, снимак одговора и разрешавање имена. Прва капија која не даје доказ је место где је посао.

Ако услуга одговара, а име не, имате DNS проблем, а не проблем са тунелом.

Сачувајте радну конфигурацију у белешци са пулом, рутом и избором NAT-а, јер ће следећа замена рутера ресетовати сва три.