Maabot ang aparato sa bahay sa pamamagitan ng remote-access VPN: limang tarangkahan

Ang isang komersyal na internet-exit VPN ay nagtatago ng iyong address; hindi ka nito ikinokonekta sa sarili mong bahay. Upang maabot ang NAS o printer sa isang home network, kailangan ng gateway na nasa network na iyon at kliyenteng gumagawa ng tunnel papunta rito. Pagkatapos ay kailangang dumaan ang packet sa limang pagsusuri, at anuman sa mga ito na mabigo ay pareho ang hitsura mula sa labas.

Tarangkahan 1: kailangang piliin ng kliyente ang tunnel

Suriin kung ang destination prefix ay talagang niruruta papasok sa tunnel sa kliyente. Ang split-tunnel profile na nagtutulak lamang ng sariling subnet ng VPN ay magpapadala ng 192.168.x.x nang direkta palabas ng lokal na interface, kung saan wala itong mararating. Tingnan ang routing table ng kliyente, hindi ang pangalan ng profile.

Ito ang pinakakaraniwang kabiguan sa mga kliyente ng telepono, na kadalasang default na nagpapadala lamang ng DNS o isang prefix lamang. Kung wala ang ruta, maaaring perpekto ang handshake at hindi pa rin maabot ang aparato.

Kumpirmahin na ang pool address ng kliyente at ang subnet ng bahay ay hindi nagsasapawan bago magpatuloy.

Tarangkahan 2: kailangang magpasa ang gateway

Nagtatapos ang VPN sa isang host na kailangang magpasa ng na-decrypt na packet papunta sa LAN. Kailangan nito ng naka-enable na IP forwarding at patakaran ng firewall na nagpapahintulot sa daloy mula sa interface ng VPN papunta sa interface ng LAN. Sa isang router appliance, karaniwang built-in ito; sa isang Linux box na may strongSwan o WireGuard, ito ay dalawang setting na nakakalimutan ng mga tao. Suriin ang pareho bago subukan ang serbisyo, dahil ang bawat isa nang mag-isa ay nagbibigay ng parehong timeout.

Subukan gamit ang capture sa interface ng LAN, dahil ang packet na hindi kailanman lumilitaw doon ay itinapon o hindi kailanman ipinasa.

Iba itong kabiguan kaysa sa serbisyong tumatanggi sa koneksyon, at ang pagkakaibang ito ay nakakatipid ng maraming oras. Panatilihing makitid ang pahintulot, limitado sa serbisyo at pool ng VPN sa halip na ang buong subnet.

Tarangkahan 3: ang daan ng tugon ang nagpapasya sa lahat

Tumutugon ang target sa source address na nakita nito, na alinman sa pool address ng kliyente o ang gateway, depende kung nag-translate ka. Kung ang default gateway ng target ay ang router ng bahay at walang ruta ang router na iyon papunta sa pool ng VPN, lumalabas ang tugon sa internet at namamatay. Ito ang klasikong one-way na koneksyon.

May dalawang lehitimong pag-aayos: magdagdag ng ruta para sa pool sa gateway ng LAN, o gumawa ng source-NAT sa gateway ng VPN upang ang target ay laging nakakakita lamang ng address ng gateway. Ang pangalawa ay mas madali at nawawala ang orihinal na pagkakakilanlan ng pinagmulan.

Pumili ng isa nang sinasadya at isulat kung alin, dahil nakadepende rito ang mga patakaran ng firewall at mga log. Ang gabay sa pagpapasa ng strongSwan ay dumadaan sa panig Linux ng desisyong iyon.

Tarangkahan 4: mga pangalan at overlap ng prefix

Ang mga lokal na pangalan ng discovery ay hindi tumatawid sa routed na hangganan, kaya ang aparatong lumilitaw na may magiliw na pangalan sa loob ng bahay ay maaaring hindi makita sa tunnel. Magbigay ng DNS para sa pribadong zone, o idokumento ang address. Anuman ang pangalang gamitin mo, kailangan nitong maresolba sa isang bagay na kayang iruta ng remote client. Kaya nga ang isang aparato ay maaaring maabot sa address at hindi makita sa pangalan nang sabay.

Ang magkakapatong na prefix ay ang isa pang patibong: kung ang pool ng kliyente ay 192.168.1.0/24 at ang home network ay gayon din, itinuturing ng kliyente ang destinasyon bilang lokal at hindi kailanman ipinapadala ito sa tunnel.

Muling bilangin ang isang panig, o gumamit ng pool mula sa saklaw na hindi mo kailanman makikita sa bahay.

Tarangkahan 5: subukan mula sa labas ng bahay

Walang pinatutunayan ang pagsubok mula sa kusina, dahil maaaring hindi kailanman umalis ang traffic sa LAN. Kumonekta mula sa mobile hotspot o ibang network, pagkatapos ay lakarin ang mga tarangkahan sa pagkakasunod-sunod: ruta sa kliyente, capture sa interface ng LAN, tugon ng serbisyo, capture ng tugon at resolusyon ng pangalan. Ang unang tarangkahang walang ebidensya ang lugar kung saan naroon ang trabaho.

Kung tumugon ang serbisyo ngunit hindi ang pangalan, mayroon kang problema sa DNS at hindi problema sa tunnel.

Itago ang gumaganang configuration sa isang tala kasama ang pool, ruta at pagpili ng NAT, dahil ang susunod na pagpapalit ng router ay magre-reset sa lahat ng tatlo.