வீட்டு VPN சேவையகமா அல்லது மேக சேவையகமா: எது உங்கள் NAS-ஐ அடையும்?
சுரங்கம் எழுகிறது, ஆனால் வீட்டு NAS அணுக முடியாததாகவே உள்ளது. நீங்கள் தொட வேண்டிய வளத்தின் அடிப்படையில் endpoint இருப்பிடத்தைத் தேர்ந்தெடுத்து, பின்னர் பாதையைச் சரிபார்க்கவும்.
சுரங்கம் எழுகிறது, கிளையண்ட் பச்சை புள்ளியைக் காட்டுகிறது, மற்றும் ssh 192.168.1.20 இன்னும் நேரம் முடியும் வரை தொங்குகிறது. சிறிய மேக நிகழ்வை வாடகைக்கு எடுத்து அதில் WireGuard வைத்த பிறகு எனக்கு சரியாக இதே நடந்தது: கைப்பற்றல் சரி, DNS சரி, மற்றும் என் மேசையில் உள்ள NAS சந்திரனில் இருப்பது போலவே அணுக முடியாதது. சுரங்கத்தில் எந்த குறையும் இல்லை. Endpoint என் வீட்டுக்கு பாதை இல்லாத நெட்வொர்க்கில் இருந்தது. Endpoint இருப்பிடம் எந்த நெட்வொர்க்குகள் அருகில் உள்ளன என்பதை தீர்மானிக்கிறது, எனவே முதலில் தொட வேண்டிய வளத்தின் அடிப்படையில் அதைத் தேர்ந்தெடுத்து, ஹோஸ்டிங்கை இரண்டாவதாக ஒப்பிடுங்கள்.
சுரங்கம் endpoint பாதை அமைக்கக்கூடிய நெட்வொர்க்குகளை மட்டுமே அடையும்
VPN உங்கள் கிளையண்டுக்கு endpoint-இன் சொந்த பாதையமைப்பு களத்திற்குள் ஒரு முகவரியை வழங்குகிறது. கிளையண்ட் 192.168.1.20 க்கு பாக்கெட்டை அனுப்பும்போது, அது எங்கே செல்கிறது என்பதை endpoint தெரிந்திருக்க வேண்டும். மேக VM-இன் அட்டவணை வழங்குநரின் VPC துணை நெட்வொர்க்குகளை அறியும்; உங்கள் LAN பற்றி அது ஒருபோதும் கேட்டதில்லை. இணைக்கப்பட்டது மற்றும் அடையக்கூடியது இரண்டு வெவ்வேறு உண்மைகள், மற்றும் வீடு மற்றும் மேக குழப்பத்தின் பெரும்பகுதி முதலாவதை இரண்டாவதற்கான சான்றாக எடுப்பதில் இருந்து வருகிறது.
ஒரு கட்டளை அதை தீர்மானிக்கிறது. endpoint-இல் ip route get 192.168.1.20 ஒன்று LAN இடைமுகத்தை பெயரிடுகிறது அல்லது இயல்புநிலை பாதையைச் சுட்டுகிறது. வீட்டு இயந்திரத்தில் பதில் LAN பக்கம். மேக நிகழ்வில் பாக்கெட் இணையத்தை நோக்கி வெளியேறி இறந்துவிடும். net.ipv4.ip_forward=1 இயக்குவதும் MASQUERADE விதியைச் சேர்ப்பதும் அதை மாற்றாது, ஏனெனில் வீட்டுப் பக்கத்திலிருந்து ஏதாவது மேகத்திற்கு இணைப்பை முடிக்கும் வரை முன்னனுப்ப எதுவும் இல்லை.
வீட்டு வழக்கில் இரண்டாவது பாதி உள்ளது: திரும்பும் பாதை. சுரங்கப் பெட்டி வழியாக LAN-ஐ விட்டு வெளியேறும் பாக்கெட்டுகள் NAT ஆகும், அல்லது LAN-க்கு சுரங்க துணை நெட்வொர்க்கிற்கு நிலையான பாதை தேவை. ஒரு திசை மட்டும் வேலை செய்யும்போது, சரிபார்க்கவும் sysctl net.ipv4.conf.all.rp_filter. கடுமையான தலைகீழ் பாதை வடிகட்டுதல் பாதை எதிர்பார்ப்பதை விட வேறு இடைமுகத்தில் வரும் பதில்களை நிராகரிக்கிறது, மற்றும் அறிகுறி தீச்சுவர் விதியைப் போலவே தெரிகிறது.
கட்டமைப்பைத் தொடும் முன் அறிகுறியைப் படியுங்கள்
சுரங்கம் உருவாகவில்லை: விசைகள், endpoint முகவரி அல்லது தடுக்கப்பட்ட UDP போர்ட். சுரங்கம் மேலே ஆனால் LAN புரவலர்கள் இறந்தன: இடம் மற்றும் பாதையமைப்பு. சுரங்கம் மேலே ஆனால் உலாவல் இறந்தது: முன்னனுப்பல், NAT அல்லது DNS. அவை மூன்று அடுக்குகள் மற்றும் மூன்று வெவ்வேறு சரிபார்ப்புகள், ஏற்கனவே சரியான கட்டமைப்பை மீண்டும் எழுதுவது ஒரு மாலையை வீணாக்குகிறது.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
வீட்டிலிருந்து உள்ளே வரும் அணுகல் தனி சரிபார்ப்புக்கு தகுதியானது, ஏனெனில் வீட்டில் ஹோஸ்டிங் சாத்தியமா என்பதை அது தீர்மானிக்கிறது. உங்கள் ரவுட்டர் தெரிவிக்கும் WAN முகவரியை வெளி புரவலர் காணும் முகவரியுடன் ஒப்பிடுங்கள். அது 100.64.0.0/10 இல் விழுந்தால், அல்லது இரண்டும் பொருந்தவில்லை என்றால், நீங்கள் carrier-grade NAT பின்னால் இருக்கிறீர்கள் மற்றும் எந்த போர்ட் முன்னனுப்பலும் ஒருபோதும் வேலை செய்யாது. உண்மையான தேர்வுகள் ரிலே, வீட்டிலிருந்து வெளியே அழைக்கும் மேக இணைப்பு, அல்லது endpoint-ஐ நகர்த்துவது.
வீட்டு ஹோஸ்டிங் என்ன தருகிறது, என்ன செலவாகும்
வீடு மட்டுமே இயல்பாக LAN-க்குள் இருக்கும் இடம், அங்கே சேவையகத்தை வைப்பதற்கான முழு காரணமும் அதுவே. உள்ளூர் பிரிவில் மட்டும் பதிலளிக்கும் சாதனங்கள், உதாரணமாக அச்சுப்பொறிகள் மற்றும் உள்ளூரற்ற துணை நெட்வொர்க்குகளை நிராகரிக்கும் NAS நிர்வாகப் பக்கங்கள், கூடுதல் பாதையமைப்பு இல்லாமல் வேலை செய்கின்றன. இயந்திரம், ரவுட்டர் மற்றும் மேல் இணைப்பையும் நீங்களே இயக்குகிறீர்கள்.
செலவுகள் பௌதிகமானவை. வீட்டு பதிவேற்றம் ஒரே நேரத்தில் அனைத்து கிளையண்டுகளுக்கும் உச்சவரம்பு, எனவே காணொலி அழைப்பும் காப்புப்பிரதியும் ஒரே குழாய்க்காக போட்டியிடுகின்றன. மின்சாரம், வட்டு தேய்மானம், இணைப்புகள், DDNS தேவைப்படும் மாறும் முகவரி, உள்ளே UDP முன்னனுப்ப வேண்டிய ரவுட்டர், மற்றும் இரட்டை NAT — அனைத்தும் உங்கள் மீது விழுகின்றன. மக்கள் தவிர்ப்பது மீட்பு: நீங்கள் வெளியே இருக்கும்போது பெட்டி இறந்தால், வீட்டிற்கு உங்கள் ஒரே வழியும் அதனுடன் இறக்கும். அதே விசைகளுடன் இரண்டாவது சாதனம், அல்லது குறைந்தபட்சம் பௌதிக அணுகலுக்கான திட்டம் வைத்திருங்கள்.
வீட்டில் பெட்டி இல்லாமல் LAN அணுகல் வேண்டுமானால், நடிப்பதற்குப் பதிலாக இணைப்பை உருவாக்குங்கள். மேக endpoint ரவுட்டராக மாறுகிறது: வீட்டுப் பக்கத்திலிருந்து AllowedIPs = 192.168.1.0/24 உடன் மேக peer-இல் சுரங்கம், கூடுதலாக மேகப் பெட்டியில் முன்னனுப்பலும் NAT-உம். strongSwan-இன் முன்னனுப்பல் வழிகாட்டி அந்த அமைப்பின் திரும்பும் பாதியை விளக்குகிறது, அங்கேயே இந்த முயற்சிகளில் பெரும்பாலானவை தோல்வியடைகின்றன. வீட்டு peer இப்போது ஏதாவது வேலை செய்ய மேலே இருக்க வேண்டும், எனவே ஒரு சார்பை மற்றொன்றுடன் மாற்றினீர்கள், அதை எழுதி வைக்க வேண்டும்.
மேக endpoint உண்மையில் எதற்காக
மேக endpoint உங்கள் பொது வெளியேற்றத்தை மாற்றுகிறது. போக்குவரத்து வழங்குநரின் முகவரி வரம்பிலிருந்து வெளியேறுகிறது, மற்றும் தளங்கள் உங்கள் வீட்டு முகவரிக்குப் பதிலாக அந்த முகவரியைப் பார்க்கின்றன. அதுதான் மதிப்பு, அதனால்தான் மேக VPN உங்களுக்கு NAS தராது: நீங்கள் வெளியேற்றத்தை நகர்த்தினீர்கள், LAN-ஐ அல்ல.
நீங்கள் இன்னும் விருந்தினர் அமைப்பு, VPN சேவை மற்றும் அதன் சான்றுகளை இயக்குகிறீர்கள், வழங்குநர் ஹைப்பர்வைசர் மற்றும் பௌதிக நெட்வொர்க்கை இயக்குகிறார், இரவு 2 மணிக்கு ஏதாவது உடைந்தால் இந்தப் பிரிவு முக்கியம். பொது endpoint தொடர்ந்து ஸ்கேன் செய்யப்படுகிறது, எனவே நிர்வாகப் போர்ட்டை மூடி வைத்து, VPN போர்ட்டுக்கு மட்டும் அனுமதி கொடுத்து, அட்டவணைப்படி இணைப்புகளைப் போடுங்கள். பாதுகாப்புக் குழுக்களும் வழங்குநரின் தீச்சுவர்களும் அந்த போர்ட்டை அனுமதிக்க வேண்டும், சில மேகங்கள் நிகழ்வில் மூல-இலக்க சரிபார்ப்பைச் சரிசெய்யாவிட்டால் முன்னனுப்பிய போக்குவரத்தை நிராகரிக்கின்றன.
சிறிய நிகழ்வு ஒரு கைப்பிடி கிளையண்டுகளை ஈடுகட்டும், ஆனால் மறையாக்கம் CPU வேலை, மற்றும் கடன் தீர்ந்த burstable நிகழ்வு நீடித்த சுமையில் சீரற்றதாக நடந்துகொள்கிறது. விவரக்குறிப்பு தாளை அல்ல, நீங்கள் உண்மையில் பயன்படுத்தும் பாதையைப் பாருங்கள்.
எழுதி வைக்கக்கூடிய முடிவு
இடத்தை தீர்மானிப்பது வேலை, பெட்டியின் லேபிள் அல்ல. உங்கள் வீட்டு LAN-இல் சாதனம் தேவைப்பட்டால், மிக மலிவான சரியான பதில் வீட்டில் endpoint; திரும்பும் இணைப்பை உருவாக்கிய பிறகுதான் மேகப் பெட்டி வேலை செய்யும். வேறு பொது வெளியேற்றம் தேவைப்பட்டால் பதில் மேகம், LAN கேள்வி எழவே எழாது. இரண்டையும் விரும்புவது நியாயமானது, ஆனால் அது இரண்டு endpoint, இரண்டு விசைத் தொகுப்புகள் மற்றும் இரண்டு ஆவணப்படுத்தப்பட்ட பாதைகள் என்பதைக் குறிக்கிறது.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
கிளையண்டிலிருந்து வரிசையாகச் சரிபார்க்கவும்: கைப்பற்றல், peer முகவரி, LAN புரவலர், பின்னர் வெளியேற்ற IP. curl -s https://ifconfig.me இணையம் என்ன பார்க்கிறது என்பதைக் காட்டுகிறது, மற்றும் ip route get 192.168.1.20 endpoint என்ன நம்புகிறது என்பதைக் காட்டுகிறது. வெளியேற்றச் சரிபார்ப்பு வெற்றிபெற்று NAS சரிபார்ப்பு தொங்கும்போது, இடத்தைப் பற்றிய பதில் ஏற்கனவே உங்களிடம் உள்ளது; கிளையண்டில் AllowedIPs மாற்றுவது பாதையை உருவாக்காது. 10.8.0.0/24, 192.168.1.0/24 போன்ற பிளவுபட்ட வரி, அந்தப் பாதை உண்மையில் இருக்கும்போது மட்டுமே LAN போக்குவரத்தைச் சுரங்கத்திற்குள் வைத்திருக்கும்.