Evdeki bir cihaza uzaktan erişim VPN’i ile ulaşmak: beş kapı
Evinize giden bir tünel, o ağda bir geçit, iletme ve bir yanıt yolu gerektirir. Beş kapı ve kanıt göstermeyen ilki sorundur.
Ticari bir internet çıkışı VPN’i adresinizi gizler; sizi kendi evinize bağlamaz. Ev ağındaki NAS’a veya yazıcıya ulaşmak, o ağda oturan bir geçit ve ona tünel kuran bir istemci gerektirir. Ardından paket beş kontrolü geçmelidir ve bunlardan herhangi birinin başarısızlığı dışarıdan aynı görünür.
Kapı 1: istemci tüneli seçmeli
İstemcide hedef önekinin gerçekten tünele yönlendirildiğini kontrol edin. Yalnızca VPN’in kendi alt ağını gönderen bir bölünmüş tünel profili, 192.168.x.x’i doğrudan yerel arayüzden dışarı gönderir ve hiçbir yere ulaşmaz. Profil adına değil, istemcinin yönlendirme tablosuna bakın.
Bu, telefon istemcilerinde en sık görülen hatadır; çoğu zaman varsayılan olarak yalnızca DNS veya yalnızca bir önek gönderirler. Yol yoksa el sıkışma kusursuz olabilir ve cihaz yine de erişilemez.
Devam etmeden önce istemci havuz adresinin ve ev alt ağının çakışmadığını doğrulayın.
Kapı 2: geçit iletmeli
VPN, şifresi çözülen paketi LAN’a iletmesi gereken bir ana bilgisayarda sona erer. Bunun için IP iletiminin açık olması ve güvenlik duvarı ilkesinin VPN arayüzünden LAN arayüzüne akışa izin vermesi gerekir. Bir yönlendirici cihazında bu genellikle yerleşiktir; strongSwan veya WireGuard çalıştıran bir Linux makinesinde insanların unuttuğu iki ayardır. Hizmeti test etmeden önce ikisini de kontrol edin, çünkü her biri tek başına aynı zaman aşımını verir.
LAN arayüzünde yakalama ile test edin, çünkü orada hiç görünmeyen paket ya düşürülmüştür ya da hiç iletilmemiştir.
Bu, bağlantıyı reddeden bir hizmetten farklı bir başarısızlıktır ve bu ayrım çok zaman kazandırır. İzni dar tutun, tüm alt ağ yerine hizmete ve VPN havuzuna sınırlayın.
Kapı 3: yanıt yolu her şeyi belirler
Hedef, gördüğü kaynak adrese yanıt verir; bu, çeviri yapıp yapmadığınıza bağlı olarak istemci havuz adresi veya geçittir. Hedefin varsayılan geçidi ev yönlendiricisiyse ve o yönlendiricinin VPN havuzuna yolu yoksa, yanıt internetten çıkar ve ölür. Bu klasik tek yönlü bağlantıdır.
İki meşru çözüm vardır: LAN geçidinde havuz için bir yol eklemek veya VPN geçidinde source-NAT yaparak hedefin her zaman yalnızca geçit adresini görmesini sağlamak. İkincisi daha kolaydır ve özgün kaynak kimliğini kaybeder.
Birini bilinçli olarak seçin ve hangisini yazın, çünkü güvenlik duvarı kuralları ve günlükler buna bağlıdır. strongSwan iletme kılavuzu bu kararın Linux tarafını anlatır.
Kapı 4: adlar ve önek çakışması
Yerel keşif adları yönlendirilmiş bir sınırı aşmaz, bu yüzden evin içinde dostça bir adla görünen bir cihaz tünel üzerinden görünmez olabilir. Özel bölge için DNS sağlayın veya adresi belgeleyin. Hangi adı kullanırsanız kullanın, uzak istemcinin yönlendirebileceği bir şeye çözülmelidir. Bu yüzden bir cihaz aynı anda adresle erişilebilir ve adla görünmez olabilir.
Çakışan önekler diğer tuzaktır: istemci havuzu 192.168.1.0/24 ise ve ev ağı da öyleyse, istemci hedefi yerel sayar ve asla tünelden göndermez.
Bir tarafı yeniden numaralandırın veya evde asla karşılaşmayacağınız bir aralıktan havuz kullanın.
Kapı 5: evin dışından test edin
Mutfaktan yapılan test hiçbir şeyi kanıtlamaz, çünkü trafik LAN’dan hiç çıkmayabilir. Mobil hotspot veya başka bir ağdan bağlanın, sonra kapıları sırayla geçin: istemcide yol, LAN arayüzünde yakalama, hizmetin yanıtı, yanıtın yakalanması ve ad çözümlemesi. Kanıt üretmeyen ilk kapı işin olduğu yerdir.
Hizmet yanıt veriyor ama ad vermiyorsa, tünel değil DNS sorununuz var.
Çalışan yapılandırmayı havuz, yol ve NAT seçimiyle bir notta saklayın, çünkü bir sonraki yönlendirici değişimi üçünü de sıfırlar.