เข้าถึงอุปกรณ์ที่บ้านผ่าน VPN สำหรับการเข้าถึงระยะไกล: ห้าด่าน

VPN สำหรับออกอินเทอร์เน็ตเชิงพาณิชย์ซ่อนที่อยู่ของคุณ แต่ไม่ได้เชื่อมคุณกับบ้านของคุณเอง การเข้าถึง NAS หรือเครื่องพิมพ์บนเครือข่ายบ้านต้องมีเกตเวย์ที่อยู่ในเครือข่ายนั้นและไคลเอนต์ที่สร้างอุโมงค์ไปยังเกตเวย์นั้น จากนั้นแพ็กเก็ตต้องผ่านการตรวจห้าขั้น และ การล้มเหลวของขั้นใดขั้นหนึ่งก็ดูเหมือนกันจากภายนอก

ด่าน 1: ไคลเอนต์ต้องเลือกอุโมงค์

ตรวจสอบว่าเพรฟิกซ์ปลายทางถูกกำหนดเส้นทางเข้าอุโมงค์บนไคลเอนต์จริงหรือไม่ โปรไฟล์แบบแยกอุโมงค์ที่ส่งเฉพาะซับเน็ตของ VPN เองจะส่ง 192.168.x.x ออกทางอินเทอร์เฟซภายในโดยตรง ซึ่งไปไม่ถึงไหน ดูตารางเส้นทางของไคลเอนต์ ไม่ใช่ชื่อโปรไฟล์

นี่คือความล้มเหลวที่พบบ่อยที่สุดในไคลเอนต์โทรศัพท์ ซึ่งมักส่งเฉพาะ DNS หรือเฉพาะเพรฟิกซ์เดียวตามค่าเริ่มต้น หากเส้นทางหายไป การจับมืออาจสมบูรณ์แบบแต่อุปกรณ์ก็ยังเข้าถึงไม่ได้

ยืนยันว่าที่อยู่พูลของไคลเอนต์และซับเน็ตในบ้านไม่ทับซ้อนกันก่อนดำเนินการต่อ

ด่าน 2: เกตเวย์ต้องส่งต่อ

VPN สิ้นสุดที่โฮสต์ที่ต้องส่งต่อแพ็กเก็ตที่ถอดรหัสแล้วไปยัง LAN ซึ่งต้องเปิดใช้การส่งต่อ IP และนโยบายไฟร์วอลล์ที่อนุญาตการไหลจากอินเทอร์เฟซ VPN ไปยังอินเทอร์เฟซ LAN บนอุปกรณ์เราเตอร์มักมีมาให้ในตัว บนเครื่อง Linux ที่รัน strongSwan หรือ WireGuard นี่คือสองการตั้งค่าที่ผู้คนลืม ตรวจสอบทั้งสองก่อนทดสอบบริการ เพราะแต่ละอย่างเพียงลำพังก็ให้เวลาหมดอายุเท่ากัน

ทดสอบด้วยการดักจับบนอินเทอร์เฟซ LAN เพราะแพ็กเก็ตที่ไม่เคยปรากฏที่นั่นถูกทิ้งหรือไม่เคยถูกส่งต่อ

นี่เป็นความล้มเหลวที่ต่างจากบริการที่ปฏิเสธการเชื่อมต่อ และความแตกต่างนี้ประหยัดเวลามาก จำกัดสิทธิ์ให้แคบ เฉพาะบริการและพูล VPN แทนที่จะเป็นทั้งซับเน็ต

ด่าน 3: เส้นทางตอบกลับตัดสินทุกอย่าง

เป้าหมายตอบกลับไปยังที่อยู่ต้นทางที่มันเห็น ซึ่งเป็นที่อยู่พูลของไคลเอนต์หรือเกตเวย์ ขึ้นอยู่กับว่าคุณแปลหรือไม่ หากเกตเวย์เริ่มต้นของเป้าหมายคือเราเตอร์ในบ้านและเราเตอร์นั้นไม่มีเส้นทางไปยังพูล VPN คำตอบจะออกทางอินเทอร์เน็ตและตาย นี่คือการเชื่อมต่อทางเดียวแบบคลาสสิก

มีวิธีแก้ที่ชอบธรรมสองวิธี คือเพิ่มเส้นทางสำหรับพูลบนเกตเวย์ LAN หรือทำ source-NAT บนเกตเวย์ VPN เพื่อให้เป้าหมายเห็นเฉพาะที่อยู่เกตเวย์เท่านั้น วิธีที่สองง่ายกว่าและสูญเสียตัวตนต้นทางเดิม

เลือกอย่างใดอย่างหนึ่งโดยตั้งใจและบันทึกว่าเลือกอะไร เพราะกฎไฟร์วอลล์และบันทึกขึ้นอยู่กับสิ่งนั้น คู่มือการส่งต่อของ strongSwan อธิบายด้าน Linux ของการตัดสินใจนั้น

ด่าน 4: ชื่อและการทับซ้อนของเพรฟิกซ์

ชื่อการค้นพบภายในไม่ข้ามพรมแดนที่กำหนดเส้นทาง ดังนั้นอุปกรณ์ที่ปรากฏเป็นชื่อที่เป็นมิตรในบ้านอาจมองไม่เห็นผ่านอุโมงค์ ให้ DNS สำหรับโซนส่วนตัว หรือบันทึกที่อยู่ไว้ ชื่อใดก็ตามที่คุณใช้ต้องแปลงเป็นสิ่งที่ไคลเอนต์ระยะไกลกำหนดเส้นทางได้ นั่นคือเหตุผลที่อุปกรณ์อาจเข้าถึงได้ด้วยที่อยู่แต่มองไม่เห็นด้วยชื่อในเวลาเดียวกัน

เพรฟิกซ์ที่ทับซ้อนกันคือกับดักอีกอย่าง หากพูลของไคลเอนต์คือ 192.168.1.0/24 และเครือข่ายในบ้านก็เช่นกัน ไคลเอนต์จะถือว่าปลายทางเป็นภายในและไม่ส่งผ่านอุโมงค์เลย

กำหนดหมายเลขฝั่งหนึ่งใหม่ หรือใช้พูลจากช่วงที่คุณจะไม่เจอที่บ้าน

ด่าน 5: ทดสอบจากนอกบ้าน

การทดสอบจากในครัวไม่ได้พิสูจน์อะไร เพราะทราฟฟิกอาจไม่เคยออกจาก LAN เชื่อมต่อจากฮอตสปอตมือถือหรือเครือข่ายอื่น แล้วไล่ด่านตามลำดับ เส้นทางบนไคลเอนต์ การดักจับบนอินเทอร์เฟซ LAN การตอบกลับของบริการ การดักจับคำตอบ และการแปลงชื่อ ด่านแรกที่ไม่ให้หลักฐานคือจุดที่ต้องทำงาน

หากบริการตอบแต่ชื่อไม่ตอบ คุณมีปัญหา DNS ไม่ใช่ปัญหาอุโมงค์

เก็บการกำหนดค่าที่ใช้งานได้ไว้ในบันทึกพร้อมพูล เส้นทาง และการเลือก NAT เพราะการเปลี่ยนเราเตอร์ครั้งต่อไปจะรีเซ็ตทั้งสามอย่าง