Seva ya VPN ya nyumbani dhidi ya seva ya wingu: ipi inafikia NAS yako?

Tuneli huinuka, mteja anaonyesha nukta ya kijani, na ssh 192.168.1.20 bado inaning'inia hadi muda uishe. Nilipata hili hasa baada ya kukodisha instance ndogo ya wingu na kuweka WireGuard juu yake: kupeana mikono vizuri, DNS vizuri, na NAS kwenye meza yangu isifikike kana kwamba iko mwezini. Tuneli haikuwa na kosa lolote. Endpoint ilikuwa kwenye mtandao usio na njia kuelekea nyumbani kwangu. Eneo la endpoint huamua mitandao ipi iko jirani, kwa hiyo chagua kwa rasilimali unayopaswa kugusa kwanza na linganisha upangishaji baadaye.

Tuneli hufikia tu mitandao ambayo endpoint inaweza kuielekeza

VPN humpa mteja wako anwani ndani ya kikoa cha uelekezaji cha endpoint yenyewe. Mteja anapotuma pakiti kwa 192.168.1.20, endpoint inapaswa kujua inakwenda wapi. Jedwali la VM ya wingu linajua subnet za VPC za mtoa huduma; kuhusu LAN yako halijasikia kamwe. Imeunganishwa na inafikika ni mambo mawili tofauti, na machafuko mengi kati ya nyumbani na wingu yanatoka katika kuchukua la kwanza kama uthibitisho wa la pili.

Amri moja huamua. Kwenye endpoint, ip route get 192.168.1.20 ama inataja kiolesura cha LAN au inaelekeza kwenye njia chaguo-msingi. Kwenye mashine ya nyumbani jibu ni upande wa LAN. Kwenye instance ya wingu pakiti inatoka kuelekea intaneti na kufa. Kuwasha net.ipv4.ip_forward=1 na kuongeza kanuni ya MASQUERADE hakubadilishi hilo, kwa sababu hakuna pa kupeleka mbele hadi kitu upande wa nyumbani kikamilishe kiungo kwenye wingu.

Kisa cha nyumbani kina nusu ya pili: njia ya kurudi. Pakiti zinazoondoka LAN kupitia sanduku la tuneli hupitishwa NAT, au LAN inahitaji njia tuli kurudi kwenye subnet ya tuneli. Wakati mwelekeo mmoja tu unafanya kazi, angalia sysctl net.ipv4.conf.all.rp_filter. Uchujaji mkali wa njia ya kurudi hutupa majibu yanayofika kwenye kiolesura tofauti na kile njia inavyotabiri, na dalili inaonekana kama kanuni ya ngome ya moto.

Soma dalili kabla ya kugusa usanidi

Tuneli haianziki: funguo, anwani ya endpoint au port ya UDP iliyozuiwa. Tuneli juu lakini wenyeji wa LAN wamekufa: uwekaji na uelekezaji. Tuneli juu lakini uvinjari umekufa: upelekaji mbele, NAT au DNS. Hizo ni tabaka tatu na ukaguzi tatu tofauti, na kuandika upya usanidi ambao ulikuwa sahihi tayari hupoteza jioni.

Ufikikaji wa kuingia kutoka nyumbani unastahili ukaguzi wake, kwa sababu huamua kama upangishaji nyumbani unawezekana kabisa. Linganisha anwani ya WAN ambayo router yako inaripoti na anwani ambayo mwenyeji wa nje anaona. Ikiwa inaanguka katika 100.64.0.0/10, au hizo mbili hazilingani, uko nyuma ya NAT ya mtoa huduma na hakuna upelekaji wa port utakaowahi kufanya kazi. Chaguo halisi ni relay, kiungo cha wingu kinachopiga simu kuelekea nje kutoka nyumbani, au kuhamisha endpoint.

Upangishaji wa nyumbani hukununulia nini, na unagharimu nini

Nyumbani ndio eneo pekee ambalo kwa chaguo-msingi liko ndani ya LAN, na hiyo ndiyo sababu yote ya kuweka seva hapo. Vifaa vinavyojibu tu kwenye sehemu ya ndani, kama printa na kurasa za usimamizi za NAS zinazokataa subnet zisizo za ndani, hufanya kazi bila uelekezaji wa ziada. Pia unaendesha mashine, router na kiungo cha juu mwenyewe.

Gharama ni za kimwili. Upakiaji wa nyumbani ndio kikomo kwa wateja wote kwa wakati mmoja, kwa hiyo simu ya video na nakala rudufu hushindana kwa bomba moja. Umeme, uchakavu wa diski, viraka, anwani inayobadilika inayohitaji DDNS, router inayopaswa kupeleka UDP ndani, na huenda NAT mara mbili vyote vinaangukia kwako. Kitu ambacho watu hukosa ni urejeshaji: ikiwa sanduku linakufa ukiwa mbali, njia yako pekee ya kuingia nyumbani inakufa pamoja nalo. Weka kifaa cha pili chenye funguo sawa, au angalau mpango wa ufikiaji wa kimwili.

Ikiwa unataka ufikiaji wa LAN bila sanduku nyumbani, jenga kiungo badala ya kujifanya. Endpoint ya wingu inakuwa router: tuneli kutoka upande wa nyumbani na AllowedIPs = 192.168.1.0/24 kwenye peer ya wingu, pamoja na upelekaji mbele na NAT kwenye sanduku la wingu. Mwongozo wa upelekaji mbele wa strongSwan unapitia nusu ya kurudi ya usanidi huo, na hapo ndipo mengi ya majaribio haya hushindwa. Peer ya nyumbani sasa inapaswa kuwa juu ili kitu chochote kifanye kazi, kwa hiyo ulibadilisha utegemezi mmoja na mwingine na unapaswa kuandika hilo.

Endpoint ya wingu ni ya nini hasa

Endpoint ya wingu hubadilisha toka lako la umma. Trafiki inatoka katika safu ya anwani za mtoa huduma, na tovuti zinaona anwani hiyo badala ya ya nyumbani. Hiyo ndiyo thamani, na ndiyo sababu VPN ya wingu haikupi NAS: ulihamisha toka, si LAN.

Bado unaendesha mfumo wa mgeni, huduma ya VPN na vitambulisho vyake wakati mtoa huduma anaendesha hypervisor na mtandao wa kimwili, na mgawanyiko huo ni muhimu pale kitu kinapoharibika saa 2 usiku. Endpoint ya umma huchunguzwa mfululizo, kwa hiyo weka port ya usimamizi imefungwa, ruhusu port ya VPN pekee, na weka viraka kwa ratiba. Vikundi vya usalama na ngome za moto za mtoa huduma lazima ziruhusu port hiyo, na baadhi ya mawingu hutupa trafiki iliyopelekwa mbele usiporekebisha ukaguzi wa chanzo na lengwa kwenye instance.

Instance ndogo hushughulikia wateja wachache, lakini usimbaji fiche ni kazi ya CPU, na instance ya burstable iliyoishiwa na mikopo hujiendesha kwa kutofautiana chini ya mzigo endelevu. Angalia njia unayotumia kweli, si karatasi ya vipimo.

Uamuzi unaoweza kuandika

Kazi huamua eneo, si lebo kwenye sanduku. Ikiwa unahitaji kifaa kwenye LAN ya nyumbani, jibu sahihi la bei ya chini ni endpoint nyumbani; sanduku la wingu hufanya kazi tu baada ya kujenga kiungo cha kurudi. Ikiwa unahitaji toka lingine la umma, jibu ni wingu na swali la LAN halitokei kabisa. Kutaka vyote ni halali, lakini inamaanisha endpoint mbili, seti mbili za funguo na njia mbili zilizoandikwa.

Thibitisha kutoka kwa mteja kwa mpangilio: kupeana mikono, anwani ya peer, mwenyeji wa LAN, kisha IP ya toka. curl -s https://ifconfig.me inaonyesha kile intaneti inachoona, na ip route get 192.168.1.20 inaonyesha kile endpoint inachokiamini. Wakati ukaguzi wa toka unapita na ukaguzi wa NAS unaning'inia, tayari una jibu kuhusu eneo; kurekebisha AllowedIPs kwenye mteja hakutaleta njia. Mstari uliogawanywa kama 10.8.0.0/24, 192.168.1.0/24 huweka trafiki ya LAN ndani ya tuneli tu wakati njia hiyo ipo kweli.