ہوم VPN سرور بمقابلہ کلاؤڈ سرور: آپ کے NAS تک کون پہنچتا ہے؟
ٹنل اوپر آتی ہے، مگر گھر کا NAS ناقابل رسائی رہتا ہے۔ پہلے چھونے والے وسیلے کے مطابق endpoint کی جگہ چنیں، پھر راستہ جانچیں۔
ٹنل اوپر آتی ہے، کلائنٹ سبز نقطہ دکھاتا ہے، اور ssh 192.168.1.20 تب بھی ٹائم آؤٹ ہونے تک لٹکی رہتی ہے۔ چھوٹا کلاؤڈ انسٹانس کرائے پر لے کر اس پر WireGuard لگانے کے بعد مجھے بالکل یہی ملا: ہینڈ شیک ٹھیک، DNS ٹھیک، اور میری میز پر رکھا NAS اتنا ہی ناقابل رسائی جیسے چاند پر ہو۔ ٹنل میں کوئی خرابی نہیں تھی۔ Endpoint ایسے نیٹ ورک میں تھا جس کا میرے گھر تک کوئی راستہ نہیں تھا۔ Endpoint کی جگہ طے کرتی ہے کہ کون سے نیٹ ورک پڑوسی ہیں، اس لیے پہلے چھونے والے وسیلے کے مطابق اسے چنیں اور ہوسٹنگ کا موازنہ بعد میں کریں۔
ٹنل صرف ان نیٹ ورکس تک پہنچتی ہے جنہیں endpoint روٹ کر سکتا ہے
VPN آپ کے کلائنٹ کو endpoint کے اپنے روٹنگ ڈومین کے اندر پتہ دیتا ہے۔ جب کلائنٹ 192.168.1.20 پر پیکٹ بھیجتا ہے، endpoint کو جاننا ہوتا ہے کہ وہ کہاں جاتا ہے۔ کلاؤڈ VM کی میز فراہم کنندہ کے VPC سب نیٹ جانتی ہے؛ آپ کے LAN کے بارے میں اس نے کبھی نہیں سنا۔ جڑا ہوا اور قابل رسائی دو الگ حقائق ہیں، اور گھر بمقابلہ کلاؤڈ کی بیشتر الجھن پہلے کو دوسرے کا ثبوت سمجھنے سے آتی ہے۔
ایک کمانڈ اسے طے کرتی ہے۔ Endpoint پر ip route get 192.168.1.20 یا تو LAN انٹرفیس کا نام لیتا ہے یا ڈیفالٹ راستے کی طرف اشارہ کرتا ہے۔ گھر کی مشین پر جواب LAN طرف ہے۔ کلاؤڈ انسٹانس پر پیکٹ انٹرنیٹ کی طرف نکل کر مر جاتا ہے۔ net.ipv4.ip_forward=1 چالو کرنا اور MASQUERADE قاعدہ شامل کرنا اسے نہیں بدلتا، کیونکہ گھر کی طرف سے کوئی چیز کلاؤڈ میں لنک ختم نہ کرے تو آگے بھیجنے کی جگہ نہیں۔
گھر کے معاملے کا دوسرا نصف ہے: واپسی کا راستہ۔ ٹنل باکس سے LAN چھوڑنے والے پیکٹ NAT ہوتے ہیں، یا LAN کو ٹنل سب نیٹ کی طرف مستقل راستہ چاہیے ہوتا ہے۔ جب صرف ایک سمت کام کرے تو جانچیں sysctl net.ipv4.conf.all.rp_filter۔ سخت ریورس پاتھ فلٹرنگ ان جوابات کو گرا دیتی ہے جو راستے کے اندازے سے مختلف انٹرفیس پر آئیں، اور علامت بالکل فائر وال قاعدے جیسی لگتی ہے۔
کنفیگ کو چھونے سے پہلے علامت پڑھیں
ٹنل بنتی نہیں: چابیاں، endpoint کا پتہ یا بلاک شدہ UDP پورٹ۔ ٹنل اوپر مگر LAN میزبان مردہ: جگہ اور روٹنگ۔ ٹنل اوپر مگر براؤزنگ مردہ: فارورڈنگ، NAT یا DNS۔ یہ تین تہیں اور تین مختلف جانچیں ہیں، اور پہلے سے درست کنفیگ دوبارہ لکھنا ایک شام ضائع کرتا ہے۔
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
گھر سے آنے والی رسائی اپنی الگ جانچ کی حقدار ہے، کیونکہ یہ طے کرتی ہے کہ گھر پر ہوسٹنگ بالکل ممکن ہے یا نہیں۔ آپ کے روٹر کے بتائے گئے WAN پتے کا موازنہ باہر کے میزبان کے دیکھے گئے پتے سے کریں۔ اگر وہ 100.64.0.0/10 میں پڑے، یا دونوں نہ ملیں، تو آپ carrier-grade NAT کے پیچھے ہیں اور کوئی پورٹ فارورڈنگ کبھی کام نہیں کرے گی۔ اصل اختیارات ریلے، گھر سے باہر ڈائل کرنے والی کلاؤڈ لنک، یا endpoint ہٹانا ہیں۔
گھر کی ہوسٹنگ کیا دیتی ہے اور کیا لیتی ہے
گھر ہی واحد جگہ ہے جو بطور ڈیفالٹ LAN کے اندر ہے، اور وہاں سرور رکھنے کی پوری وجہ یہی ہے۔ صرف مقامی حصے پر جواب دینے والے آلات، جیسے پرنٹر اور غیر مقامی سب نیٹ رد کرنے والے NAS کے منتظم صفحات، بغیر اضافی روٹنگ کے کام کرتے ہیں۔ مشین، روٹر اور اپ لنک بھی آپ خود چلاتے ہیں۔
اخراجات جسمانی ہیں۔ گھر کا اپ لوڈ ایک وقت میں تمام کلائنٹس کے لیے حد ہے، اس لیے ویڈیو کال اور بیک اپ ایک ہی پائپ کے لیے مقابلہ کرتے ہیں۔ بجلی، ڈسک کی گھسائی، پیچ، DDNS درکار متحرک پتہ، اندر UDP فارورڈ کرنے والا روٹر اور ممکنہ ڈبل NAT — سب آپ پر آتا ہے۔ لوگ جسے چھوڑ دیتے ہیں وہ بازیابی ہے: اگر آپ باہر ہوں اور باکس مر جائے، تو گھر میں آنے کا آپ کا واحد راستہ بھی اس کے ساتھ مر جاتا ہے۔ انہی چابیوں والا دوسرا آلہ، یا کم از کم جسمانی رسائی کا منصوبہ رکھیں۔
اگر گھر پر باکس کے بغیر LAN رسائی چاہیے تو دکھاوا کرنے کی بجائے لنک بنائیں۔ کلاؤڈ endpoint روٹر بن جاتا ہے: گھر کی طرف سے AllowedIPs = 192.168.1.0/24 کے ساتھ کلاؤڈ peer پر ٹنل، نیز کلاؤڈ باکس پر فارورڈنگ اور NAT۔ strongSwan کی فارورڈنگ گائیڈ اس سیٹ اپ کا واپسی نصف بیان کرتی ہے، اور وہیں ان کوششوں کی بیشتر ناکام ہوتی ہیں۔ گھر کے peer کو اب کچھ بھی چلنے کے لیے اوپر ہونا پڑے گا، یعنی آپ نے ایک انحصار دوسرے سے بدلا اور یہ لکھ لینا چاہیے۔
کلاؤڈ endpoint اصل میں کس لیے ہے
کلاؤڈ endpoint آپ کا عوامی اخراج بدلتا ہے۔ ٹریفک فراہم کنندہ کی پتہ رینج سے نکلتی ہے، اور سائٹیں گھر کے پتے کی بجائے وہ پتہ دیکھتی ہیں۔ قدر وہیں ہے، اور اسی لیے کلاؤڈ VPN آپ کو NAS نہیں دیتا: آپ نے اخراج ہٹایا، LAN نہیں۔
آپ اب بھی مہمان نظام، VPN سروس اور اس کے اسناد چلاتے ہیں جبکہ فراہم کنندہ ہائپروائزر اور جسمانی نیٹ ورک چلاتا ہے، اور رات 2 بجے کچھ خراب ہونے پر یہ تقسیم اہم ہوتی ہے۔ عوامی endpoint مسلسل اسکین ہوتا ہے، اس لیے مدیریت پورٹ بند رکھیں، صرف VPN پورٹ کی اجازت دیں اور شیڈول کے مطابق پیچ کریں۔ سیکیورٹی گروپس اور فراہم کنندہ کی فائر والز کو وہ پورٹ اجازت دینی چاہیے، اور کچھ کلاؤڈز انسٹانس پر ماخذ و منزل کی جانچ درست کیے بغیر فارورڈ شدہ ٹریفک گرا دیتے ہیں۔
چھوٹا انسٹانس چند کلائنٹس سنبھالتا ہے، مگر انکرپشن CPU کا کام ہے، اور کریدٹ ختم شدہ burstable انسٹانس مسلسل بوجھ میں غیر مساوی برتاؤ کرتا ہے۔ اسپیک شیٹ نہیں، وہ راستہ دیکھیں جو آپ واقعی استعمال کرتے ہیں۔
ایسا فیصلہ جو لکھا جا سکے
جگہ کام طے کرتا ہے، باکس کا لیبل نہیں۔ اگر آپ کو گھر کے LAN پر آلہ درکار ہے تو سب سے سستا درست جواب گھر پر endpoint ہے؛ کلاؤڈ باکس واپسی لنک بنانے کے بعد ہی چلتا ہے۔ اگر مختلف عوامی اخراج درکار ہے تو جواب کلاؤڈ ہے اور LAN کا سوال ہی نہیں اٹھتا۔ دونوں چاہنا جائز ہے، مگر اس کا مطلب دو endpoint، دو چابی سیٹ اور دو دستاویزی راستے ہیں۔
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
کلائنٹ سے ترتیب سے جانچیں: ہینڈ شیک، peer کا پتہ، LAN میزبان، پھر اخراج IP۔ curl -s https://ifconfig.me دکھاتا ہے کہ انٹرنیٹ کیا دیکھتا ہے، اور ip route get 192.168.1.20 دکھاتا ہے کہ endpoint کیا سمجھتا ہے۔ جب اخراج کی جانچ پاس ہو اور NAS کی جانچ لٹکی ہو، تو جگہ کا جواب آپ کے پاس پہلے سے ہے؛ کلائنٹ پر AllowedIPs بدلنے سے راستہ نہیں بنے گا۔ 10.8.0.0/24, 192.168.1.0/24 جیسی منقسم لائن LAN ٹریفک کو ٹنل میں صرف اسی وقت رکھتی ہے جب وہ راستہ واقعی موجود ہو۔