Ev VPN sunucusu ile bulut sunucusu: hangisi NAS'ınıza ulaşır?

Tünel açılıyor, istemci yeşil bir nokta gösteriyor ve ssh 192.168.1.20 yine de zaman aşımına kadar asılı kalıyor. Küçük bir bulut örneği kiralayıp üzerine WireGuard kurduktan sonra tam olarak bunu yaşadım: el sıkışma sorunsuz, DNS sorunsuz ve masamdaki NAS sanki ayda duruyormuş gibi ulaşılamaz. Tünelde hiçbir sorun yoktu. Uç nokta, evime yolu olmayan bir ağda duruyordu. Uç noktanın konumu hangi ağların komşu olduğunu belirler, bu yüzden onu önce ulaşmanız gereken kaynağa göre seçin ve barındırmayı ikinci sırada karşılaştırın.

Bir tünel yalnızca uç noktanın yönlendirebildiği ağlara ulaşır

Bir VPN, istemcinize uç noktanın kendi yönlendirme alanı içinde bir adres verir. İstemci 192.168.1.20'ye bir paket gönderdiğinde uç nokta bunun nereye gittiğini bilmelidir. Bir bulut VM'inin tablosu sağlayıcının VPC alt ağlarını bilir; sizin LAN'ınızdan hiç haber almamıştır. Bağlı ve ulaşılabilir iki farklı gerçektir ve ev ile bulut arasındaki karışıklığın çoğu birincisini ikincisinin kanıtı saymaktan gelir.

Tek bir komut bunu çözer. Uç noktada ip route get 192.168.1.20 ya bir LAN arayüzü adlandırır ya da varsayılan yola işaret eder. Ev makinesinde yanıt LAN tarafıdır. Bulut örneğinde paket internete doğru çıkar ve ölür. net.ipv4.ip_forward=1 açmak ve bir MASQUERADE kuralı eklemek bunu değiştirmez, çünkü ev tarafında bir şey buluta bağlantıyı bitirene kadar iletilecek bir yer yoktur.

Ev durumunun ikinci yarısı vardır: dönüş yolu. LAN'dan tünel kutusu üzerinden çıkan paketler NAT'lanır veya LAN'ın tünel alt ağına geri statik bir yola ihtiyacı vardır. Yalnızca tek yön çalıştığında şunu denetleyin: sysctl net.ipv4.conf.all.rp_filter. Sıkı ters yol filtrelemesi, yolun öngördüğünden farklı bir arayüze gelen yanıtları düşürür ve belirti tam olarak bir güvenlik duvarı kuralı gibi görünür.

Yapılandırmaya dokunmadan önce belirtiyi okuyun

Tünel kurulmuyor: anahtarlar, uç nokta adresi veya engellenmiş UDP bağlantı noktası. Tünel ayakta ama LAN konakları ölü: yerleşim ve yönlendirme. Tünel ayakta ama gezinme ölü: iletme, NAT veya DNS. Bunlar üç katman ve üç farklı denetimdir ve zaten doğru olan bir yapılandırmayı yeniden yazmak bir akşamı harcar.

Eve gelen erişilebilirlik ayrı bir denetimi hak eder, çünkü evde barındırmanın mümkün olup olmadığına bu karar verir. Yönlendiricinizin bildirdiği WAN adresini dışarıdaki bir konağın gördüğü adresle karşılaştırın. 100.64.0.0/10 içine düşüyorsa veya ikisi uyuşmuyorsa operatör NAT'ının arkasındasınız ve hiçbir bağlantı noktası yönlendirmesi asla çalışmayacaktır. Gerçek seçenekler bir röle, evden dışarı doğru arayan bir bulut bağlantısı veya uç noktayı taşımaktır.

Ev barındırması ne kazandırır ve neye mal olur

Ev, varsayılan olarak LAN'ın içinde olan tek yerleşimdir ve oraya sunucu koymanın tüm nedeni budur. Yalnızca yerel segmentte yanıt veren aygıtlar, örneğin yazıcılar ve yerel olmayan alt ağları reddeden NAS yönetim sayfaları, ek yönlendirme olmadan çalışır. Makineyi, yönlendiriciyi ve bağlantıyı da kendiniz işletirsiniz.

Maliyetler fizikseldir. Ev yüklemesi tüm istemciler için aynı anda tavandır, bu yüzden bir görüntülü görüşme ile bir yedekleme aynı boru için yarışır. Elektrik, disk aşınması, yamalar, DDNS gerektiren dinamik bir adres, UDP'yi içeri yönlendirmesi gereken bir yönlendirici ve belki çift NAT hepsi size düşer. İnsanların atladığı şey kurtarmadır: siz yokken kutu ölürse eve giden tek yolunuz da onunla ölür. Aynı anahtarlara sahip ikinci bir aygıt ya da en azından fiziksel erişim planı bulundurun.

Evde kutu olmadan LAN erişimi istiyorsanız numara yapmak yerine bir bağlantı kurun. Bulut uç noktası yönlendirici olur: ev tarafından AllowedIPs = 192.168.1.0/24 ile bulut eşine bir tünel, artı bulut kutusunda iletme ve NAT. strongSwan'ın iletme kılavuzu bu kurulumun dönüş yarısını anlatır ve bu tür denemelerin çoğu tam orada başarısız olur. Ev eşinin artık bir şeyin çalışması için ayakta olması gerekir, yani bir bağımlılığı başkasıyla değiştirdiniz ve bunu yazmalısınız.

Bir bulut uç noktası aslında ne işe yarar

Bir bulut uç noktası genel çıkışınızı değiştirir. Trafik sağlayıcının adres aralığından çıkar ve siteler ev adresiniz yerine o adresi görür. Değer buradadır ve bu yüzden bulut VPN size NAS'ı vermez: çıkışı taşıdınız, LAN'ı değil.

Siz hâlâ konuk sistemi, VPN hizmetini ve kimlik bilgilerini işletirken sağlayıcı hipervizörü ve fiziksel ağı işletir, ve gece saat 2'de bir şey bozulduğunda bu ayrım önemlidir. Genel uç nokta sürekli taranır, bu yüzden yönetim bağlantı noktasını kapalı tutun, yalnızca VPN bağlantı noktasına izin verin ve plana göre yama uygulayın. Güvenlik grupları ve sağlayıcı güvenlik duvarları bu bağlantı noktasına izin vermelidir ve bazı bulutlar örnekte kaynak ve hedef denetimini ayarlamadıkça iletilen trafiği düşürür.

Küçük bir örnek bir avuç istemciyi kapsar, ama şifreleme CPU işidir ve kredisi tükenen burstable bir örnek sürekli yük altında dengesiz davranır. Veri sayfasına değil, gerçekten kullandığınız yola bakın.

Yazabileceğiniz bir karar

Yerleşimi kutunun etiketi değil, görev belirler. Ev LAN'ınızda bir aygıt gerekiyorsa en ucuz doğru yanıt evde bir uç noktadır; bulut kutusu ancak dönüş bağlantısını kurduktan sonra çalışır. Farklı bir genel çıkış gerekiyorsa yanıt buluttur ve LAN sorusu hiç ortaya çıkmaz. İkisini de istemek meşrudur, ama iki uç nokta, iki anahtar seti ve iki belgelenmiş yol demektir.

İstemciden sırayla doğrulayın: el sıkışma, eş adresi, bir LAN konağı, sonra çıkış IP'si. curl -s https://ifconfig.me internetin ne gördüğünü gösterir ve ip route get 192.168.1.20 uç noktanın ne düşündüğünü gösterir. Çıkış denetimi geçip NAS denetimi asılı kaldığında yerleşim yanıtınız zaten var; istemcide AllowedIPs ayarlamak bir yol yaratmaz. 10.8.0.0/24, 192.168.1.0/24 gibi bölünmüş bir satır LAN trafiğini tünelde yalnızca o yol gerçekten varsa tutar.