హోమ్ VPN సర్వర్ vs క్లౌడ్ సర్వర్: మీ NAS-ను ఏది చేరుకుంటుంది?
టన్నెల్ పైకి వస్తుంది, కానీ ఇంటి NAS అందుబాటులో లేకుండా ఉంటుంది. మీరు తాకవలసిన వనరు ఆధారంగా endpoint స్థానాన్ని ఎంచుకోండి, తర్వాత మార్గాన్ని తనిఖీ చేయండి.
టన్నెల్ పైకి వస్తుంది, క్లయింట్ ఆకుపచ్చ బిందువును చూపుతుంది, మరియు ssh 192.168.1.20 ఇప్పటికీ సమయం ముగిసే వరకు వేలాడుతుంది. చిన్న క్లౌడ్ ఇన్స్టాన్స్ను అద్దెకు తీసుకుని దానిపై WireGuard పెట్టిన తర్వాత నాకు సరిగ్గా ఇదే జరిగింది: హ్యాండ్షేక్ బాగుంది, DNS బాగుంది, మరియు నా డెస్క్పై ఉన్న NAS చంద్రునిపై ఉన్నట్లే అందుబాటులో లేదు. టన్నెల్లో ఎలాంటి లోపం లేదు. Endpoint నా ఇంటికి మార్గం లేని నెట్వర్క్లో ఉంది. Endpoint స్థానం ఏ నెట్వర్క్లు పొరుగున ఉన్నాయో నిర్ణయిస్తుంది, కాబట్టి మొదట తాకవలసిన వనరు ఆధారంగా ఎంచుకోండి మరియు హోస్టింగ్ను రెండవదిగా పోల్చండి.
టన్నెల్ endpoint మార్గం చేయగల నెట్వర్క్లను మాత్రమే చేరుకుంటుంది
VPN మీ క్లయింట్కు endpoint యొక్క స్వంత రౌటింగ్ డొమైన్లో చిరునామా ఇస్తుంది. క్లయింట్ 192.168.1.20 కు ప్యాకెట్ పంపినప్పుడు, అది ఎక్కడికి వెళుతుందో endpoint తెలుసుకోవాలి. క్లౌడ్ VM పట్టిక ప్రొవైడర్ యొక్క VPC సబ్నెట్లను తెలుసు; మీ LAN గురించి అది ఎప్పుడూ వినలేదు. కనెక్ట్ అయినది మరియు చేరుకోగలిగేది రెండు వేర్వేరు వాస్తవాలు, మరియు ఇల్లు vs క్లౌడ్ గందరగోళంలో ఎక్కువ భాగం మొదటిదాన్ని రెండవదానికి రుజువుగా తీసుకోవడం నుండి వస్తుంది.
ఒక ఆదేశం దాన్ని నిర్ణయిస్తుంది. endpoint వద్ద ip route get 192.168.1.20 లేదా LAN ఇంటర్ఫేస్ను పేర్కొంటుంది లేదా డిఫాల్ట్ మార్గాన్ని సూచిస్తుంది. ఇంటి మెషీన్లో సమాధానం LAN వైపు. క్లౌడ్ ఇన్స్టాన్స్లో ప్యాకెట్ ఇంటర్నెట్ వైపు వెళ్లి చనిపోతుంది. net.ipv4.ip_forward=1 ఆన్ చేయడం మరియు MASQUERADE నియమాన్ని జోడించడం దాన్ని మార్చదు, ఎందుకంటే ఇంటి వైపు నుండి ఏదో క్లౌడ్కు లింక్ను ముగించే వరకు ముందుకు పంపడానికి ఏమీ లేదు.
ఇంటి కేసుకు రెండవ సగం ఉంది: తిరిగి వచ్చే మార్గం. టన్నెల్ బాక్స్ ద్వారా LAN నుండి బయలుదేరే ప్యాకెట్లు NAT అవుతాయి, లేదా LAN కు టన్నెల్ సబ్నెట్కు తిరిగి స్టాటిక్ మార్గం అవసరం. ఒక దిశ మాత్రమే పనిచేసినప్పుడు, తనిఖీ చేయండి sysctl net.ipv4.conf.all.rp_filter. కఠినమైన రివర్స్-పాత్ ఫిల్టరింగ్ మార్గం ఊహించిన దానికంటే వేరే ఇంటర్ఫేస్పై వచ్చే ప్రతిస్పందనలను విసిరేస్తుంది, మరియు లక్షణం ఫైర్వాల్ నియమంలా కనిపిస్తుంది.
కాన్ఫిగ్ను తాకే ముందు లక్షణాన్ని చదవండి
టన్నెల్ ఏర్పడదు: కీలు, endpoint చిరునామా లేదా నిరోధించిన UDP పోర్ట్. టన్నెల్ పైన ఉంది కానీ LAN హోస్ట్లు చనిపోయాయి: స్థానం మరియు రౌటింగ్. టన్నెల్ పైన ఉంది కానీ బ్రౌజింగ్ చనిపోయింది: ఫార్వార్డింగ్, NAT లేదా DNS. అవి మూడు పొరలు మరియు మూడు వేర్వేరు తనిఖీలు, ఇప్పటికే సరైన కాన్ఫిగ్ను మళ్లీ రాయడం ఒక సాయంత్రాన్ని వృథా చేస్తుంది.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
ఇంటి నుండి లోపలికి వచ్చే చేరుకోగలిగే సామర్థ్యం ప్రత్యేక తనిఖీకి అర్హమైనది, ఎందుకంటే ఇంట్లో హోస్టింగ్ సాధ్యమేనా అని అదే నిర్ణయిస్తుంది. మీ రౌటర్ నివేదించే WAN చిరునామాను బయటి హోస్ట్ చూసే చిరునామాతో పోల్చండి. అది 100.64.0.0/10 లో పడితే, లేదా రెండూ సరిపోలకపోతే, మీరు carrier-grade NAT వెనుక ఉన్నారు మరియు ఏ పోర్ట్ ఫార్వార్డింగ్ ఎప్పటికీ పనిచేయదు. నిజమైన ఎంపికలు రిలే, ఇంటి నుండి బయటకు డయల్ చేసే క్లౌడ్ లింక్, లేదా endpointను తరలించడం.
ఇంటి హోస్టింగ్ ఏమి ఇస్తుంది, ఎంత ఖర్చు అవుతుంది
ఇల్లే డిఫాల్ట్గా LAN లోపల ఉండే ఏకైక స్థానం, అక్కడ సర్వర్ పెట్టడానికి పూర్తి కారణం అదే. స్థానిక విభాగంలో మాత్రమే స్పందించే పరికరాలు, ఉదాహరణకు ప్రింటర్లు మరియు స్థానికేతర సబ్నెట్లను తిరస్కరించే NAS నిర్వహణ పేజీలు, అదనపు రౌటింగ్ లేకుండా పనిచేస్తాయి. మెషీన్, రౌటర్ మరియు అప్లింక్ను మీరే నడుపుతారు.
ఖర్చులు భౌతికం. ఇంటి అప్లోడ్ ఒకేసారి అన్ని క్లయింట్లకు పరిమితి, కాబట్టి వీడియో కాల్ మరియు బ్యాకప్ ఒకే పైపు కోసం పోటీపడతాయి. విద్యుత్, డిస్క్ అరుగుదల, ప్యాచ్లు, DDNS అవసరమయ్యే డైనమిక్ చిరునామా, లోపలికి UDP ఫార్వార్డ్ చేయాల్సిన రౌటర్, మరియు బహుశా డబుల్ NAT — అన్నీ మీపై పడతాయి. ప్రజలు దాటవేసేది పునరుద్ధరణ: మీరు బయట ఉన్నప్పుడు బాక్స్ చనిపోతే, ఇంటికి మీ ఏకైక మార్గం కూడా దానితో చనిపోతుంది. అదే కీలతో రెండవ పరికరం, లేదా కనీసం భౌతిక ప్రవేశానికి ప్రణాళిక ఉంచండి.
ఇంట్లో బాక్స్ లేకుండా LAN ప్రవేశం కావాలంటే, నటించడం బదులు లింక్ నిర్మించండి. క్లౌడ్ endpoint రౌటర్ అవుతుంది: ఇంటి వైపు నుండి AllowedIPs = 192.168.1.0/24 తో క్లౌడ్ peerపై టన్నెల్, దానితో పాటు క్లౌడ్ బాక్స్పై ఫార్వార్డింగ్ మరియు NAT. strongSwan యొక్క ఫార్వార్డింగ్ మార్గదర్శిని ఆ సెటప్ యొక్క తిరిగి వచ్చే సగాన్ని వివరిస్తుంది, అక్కడే ఈ ప్రయత్నాలలో చాలా వరకు విఫలమవుతాయి. ఇంటి peer ఇప్పుడు ఏదైనా పనిచేయడానికి పైన ఉండాలి, కాబట్టి మీరు ఒక ఆధారాన్ని మరొకదానితో మార్చుకున్నారు మరియు దాన్ని రాసి పెట్టుకోవాలి.
క్లౌడ్ endpoint నిజంగా ఎందుకు
క్లౌడ్ endpoint మీ పబ్లిక్ నిష్క్రమణను మారుస్తుంది. ట్రాఫిక్ ప్రొవైడర్ చిరునామా పరిధి నుండి బయలుదేరుతుంది, మరియు సైట్లు మీ ఇంటి చిరునామా బదులు ఆ చిరునామాను చూస్తాయి. అదే విలువ, అందుకే క్లౌడ్ VPN మీకు NAS ఇవ్వదు: మీరు నిష్క్రమణను తరలించారు, LANను కాదు.
మీరు ఇంకా గెస్ట్ సిస్టమ్, VPN సేవ మరియు దాని ఆధారాలను నడుపుతున్నారు, ప్రొవైడర్ హైపర్వైజర్ మరియు భౌతిక నెట్వర్క్ను నడుపుతున్నారు, మరియు రాత్రి 2 గంటలకు ఏదైనా పాడైతే ఈ విభజన ముఖ్యం. పబ్లిక్ endpoint నిరంతరం స్కాన్ చేయబడుతుంది, కాబట్టి నిర్వహణ పోర్ట్ను మూసి ఉంచండి, VPN పోర్ట్కు మాత్రమే అనుమతి ఇవ్వండి మరియు షెడ్యూల్ ప్రకారం ప్యాచ్ చేయండి. భద్రతా గ్రూపులు మరియు ప్రొవైడర్ ఫైర్వాల్లు ఆ పోర్ట్ను అనుమతించాలి, మరియు కొన్ని క్లౌడ్లు ఇన్స్టాన్స్పై మూల-గమ్యం తనిఖీని సర్దుబాటు చేయకపోతే ఫార్వార్డ్ చేసిన ట్రాఫిక్ను విసిరేస్తాయి.
చిన్న ఇన్స్టాన్స్ కొన్ని క్లయింట్లను కవర్ చేస్తుంది, కానీ ఎన్క్రిప్షన్ CPU పని, మరియు క్రెడిట్ అయిపోయిన burstable ఇన్స్టాన్స్ నిరంతర భారం కింద అసమానంగా ప్రవర్తిస్తుంది. స్పెక్ షీట్ కాదు, మీరు నిజంగా ఉపయోగించే మార్గాన్ని చూడండి.
రాసి పెట్టుకోగల నిర్ణయం
స్థానాన్ని నిర్ణయించేది పని, బాక్స్పై లేబుల్ కాదు. మీ ఇంటి LANలో పరికరం అవసరమైతే, అత్యంత చవకైన సరైన సమాధానం ఇంట్లో endpoint; తిరిగి వచ్చే లింక్ను నిర్మించిన తర్వాతే క్లౌడ్ బాక్స్ పనిచేస్తుంది. వేరే పబ్లిక్ నిష్క్రమణ అవసరమైతే సమాధానం క్లౌడ్, LAN ప్రశ్న అసలు రాదు. రెండూ కావాలనుకోవడం చట్టబద్ధం, కానీ దాని అర్థం రెండు endpoint, రెండు కీ సెట్లు మరియు రెండు నమోదిత మార్గాలు.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
క్లయింట్ నుండి క్రమంగా తనిఖీ చేయండి: హ్యాండ్షేక్, peer చిరునామా, LAN హోస్ట్, తర్వాత నిష్క్రమణ IP. curl -s https://ifconfig.me ఇంటర్నెట్ ఏమి చూస్తుందో చూపుతుంది, మరియు ip route get 192.168.1.20 endpoint ఏమి నమ్ముతుందో చూపుతుంది. నిష్క్రమణ తనిఖీ ఉత్తీర్ణమై NAS తనిఖీ వేలాడితే, స్థానం గురించి సమాధానం ఇప్పటికే మీ దగ్గర ఉంది; క్లయింట్పై AllowedIPs మార్చడం మార్గాన్ని సృష్టించదు. 10.8.0.0/24, 192.168.1.0/24 వంటి విభజిత పంక్తి LAN ట్రాఫిక్ను టన్నెల్లో ఆ మార్గం నిజంగా ఉన్నప్పుడే ఉంచుతుంది.