Uy VPN serveri yoki bulut serveri: qaysi biri NAS-ingizga yetib boradi?
Tunnel ko'tariladi, ammo uydagi NAS yetib bo'lmaydigan bo'lib qoladi. Endpoint joyini avval tegishingiz kerak bo'lgan resursga qarab tanlang, keyin marshrutni tekshiring.
Tunnel ko'tariladi, mijoz yashil nuqta ko'rsatadi va ssh 192.168.1.20 hali ham vaqt tugaguncha osilib turadi. Kichik bulut instansiyasini ijaraga olib, unga WireGuard o'rnatgandan keyin aynan shuni boshdan kechirdim: qo'l berib ko'rishish joyida, DNS joyida, ammo stolimdagi NAS xuddi oyda turgandek yetib bo'lmaydi. Tunnelda hech qanday nuqson yo'q edi. Endpoint uyimga marshruti yo'q tarmoqda turgan edi. Endpoint joyi qaysi tarmoqlar qo'shni ekanini belgilaydi, shuning uchun uni birinchi tegishingiz kerak bo'lgan resursga qarab tanlang va hostingni ikkinchi o'rinda solishtiring.
Tunnel faqat endpoint marshrutlay oladigan tarmoqlarga yetib boradi
VPN mijozingizga endpointning o'z marshrutlash domeni ichida manzil beradi. Mijoz 192.168.1.20 ga paket yuborganda, endpoint u qayerga ketishini bilishi kerak. Bulut VM jadvali provayderning VPC subnetlarini biladi; sizning LANingiz haqida u hech qachon eshitmagan. Ulangan va yetib borish mumkin — ikki xil fakt, va uy bilan bulut orasidagi chalkashlikning aksariyati birinchisini ikkinchisining dalili deb qabul qilishdan kelib chiqadi.
Bitta buyruq buni hal qiladi. Endpointda ip route get 192.168.1.20 yo LAN interfeysini nomlaydi, yo standart marshrutga ishora qiladi. Uy mashinasida javob LAN tomoni. Bulut instansiyasida paket internetga chiqib o'ladi. net.ipv4.ip_forward=1 ni yoqish va MASQUERADE qoidasini qo'shish buni o'zgartirmaydi, chunki uy tomonidan biror narsa bulutga bog'lanishni tugatmaguncha uzatadigan joy yo'q.
Uy holatining ikkinchi yarmi bor: qaytish yo'li. LANdan tunnel qutisi orqali chiqadigan paketlar NAT qilinadi, yoki LAN tunnel subnetiga qaytish uchun statik marshrut talab qiladi. Faqat bitta yo'nalish ishlaganda, tekshiring: sysctl net.ipv4.conf.all.rp_filter. Qat'iy teskari yo'l filtrlash marshrut bashorat qilganidan boshqa interfeysga kelgan javoblarni tashlaydi, va alomat xuddi xavfsizlik devori qoidasiga o'xshaydi.
Konfiguratsiyaga tegishdan oldin alomatni o'qing
Tunnel shakllanmaydi: kalitlar, endpoint manzili yoki bloklangan UDP porti. Tunnel yuqorida, lekin LAN xostlari o'lik: joylashtirish va marshrutlash. Tunnel yuqorida, lekin ko'rish o'lik: uzatish, NAT yoki DNS. Bular uch qatlam va uch xil tekshiruv, va allaqachon to'g'ri konfiguratsiyani qayta yozish bir oqshomni yo'qotadi.
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
Uydan kiruvchi yetish imkoniyati alohida tekshiruvga loyiq, chunki uyda hosting umuman mumkinligini shu hal qiladi. Routeringiz e'lon qilgan WAN manzilini tashqi xost ko'radigan manzil bilan solishtiring. Agar u 100.64.0.0/10 ichiga tushsa yoki ikkisi mos kelmasa, siz carrier-grade NAT orqasidasiz va hech qanday port uzatish hech qachon ishlamaydi. Haqiqiy variantlar — rele, uydan tashqariga qo'ng'iroq qiladigan bulut bog'lanishi, yoki endpointni ko'chirish.
Uydagi hosting nima beradi va qancha turadi
Uy — standart bo'yicha LAN ichida joylashgan yagona joy, va serverni u yerga qo'yishning butun sababi shu. Faqat mahalliy segmentda javob beradigan qurilmalar, masalan printerlar va mahalliy bo'lmagan subnetlarni rad etadigan NAS boshqaruv sahifalari, qo'shimcha marshrutlashsiz ishlaydi. Mashina, router va yuqori bog'lanishni ham o'zingiz boshqarasiz.
Xarajatlar jismoniy. Uy yuklashi bir vaqtning o'zida barcha mijozlar uchun shift, shuning uchun video qo'ng'iroq va zaxira nusxa bir quvur uchun raqobatlashadi. Elektr, diskning eskirishi, yamoqlar, DDNS talab qiladigan dinamik manzil, ichkariga UDP uzatadigan router va ehtimol ikki qavatli NAT — hammasi sizga tushadi. Odamlar o'tkazib yuboradigan narsa — tiklash: agar siz yo'qligingizda quti o'lsa, uyga yagona yo'lingiz ham u bilan o'ladi. Bir xil kalitli ikkinchi qurilma yoki hech bo'lmaganda jismoniy kirish rejasini saqlang.
Uyda qutisiz LAN kirishini xohlasangiz, o'zingizni ko'rsatish o'rniga bog'lanish quring. Bulut endpointi routerga aylanadi: uy tomonidan AllowedIPs = 192.168.1.0/24 bilan bulut peeriga tunnel, qo'shimcha bulut qutisida uzatish va NAT. strongSwanning uzatish qo'llanmasi bu sozlashning qaytish yarmini tushuntiradi, va aynan shu yerda bu urinishlarning aksariyati muvaffaqiyatsiz bo'ladi. Uy peeri endi biror narsa ishlashi uchun yuqorida bo'lishi kerak, demak siz bir bog'liqlikni boshqasiga almashtirdingiz va buni yozib qo'yishingiz kerak.
Bulut endpointi aslida nima uchun
Bulut endpointi umumiy chiqishingizni o'zgartiradi. Trafik provayderning manzil diapazonidan chiqadi, va saytlar uy manzilingiz o'rniga o'sha manzilni ko'radi. Qiymat shunda, va shuning uchun bulut VPN sizga NAS bermaydi: siz chiqishni ko'chirdingiz, LANni emas.
Siz hali ham mehmon tizimini, VPN xizmatini va uning hisob ma'lumotlarini boshqarasiz, provayder esa gipervizor va jismoniy tarmoqni boshqaradi, va tunda soat 2 da biror narsa buzilganda bu bo'linish muhim. Ommaviy endpoint doimiy skanerlanadi, shuning uchun boshqaruv portini yopiq saqlang, faqat VPN portiga ruxsat bering va jadval bo'yicha yamoqlang. Xavfsizlik guruhlari va provayder xavfsizlik devorlari bu portga ruxsat berishi kerak, va ba'zi bulutlar instansiyada manba va manzil tekshiruvini sozlamasangiz uzatilgan trafikni tashlaydi.
Kichik instansiya bir hovuch mijozni qoplaydi, ammo shifrlash CPU ishi, va kreditlari tugagan burstable instansiya doimiy yuklamada notekis ishlaydi. Texnik xususiyatlar varag'ini emas, haqiqatda ishlatadigan yo'lingizni ko'ring.
Yozib qo'yish mumkin bo'lgan qaror
Joylashtirishni qutidagi yorliq emas, vazifa belgilaydi. Agar uy LANingizda qurilma kerak bo'lsa, eng arzon to'g'ri javob uydagi endpoint; bulut qutisi qaytish bog'lanishini qurgandan keyingina ishlaydi. Agar boshqa umumiy chiqish kerak bo'lsa, javob bulut va LAN savoli umuman chiqmaydi. Ikkalasini xohlash qonuniy, ammo bu ikki endpoint, ikki kalit to'plami va ikki hujjatlashtirilgan marshrut demakdir.
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
Mijozdan tartib bilan tekshiring: qo'l berib ko'rishish, peer manzili, LAN xosti, keyin chiqish IPsi. curl -s https://ifconfig.me internet nimani ko'rishini ko'rsatadi, va ip route get 192.168.1.20 endpoint nima deb o'ylashini ko'rsatadi. Chiqish tekshiruvi o'tib, NAS tekshiruvi osilib tursa, joylashtirish haqidagi javob sizda allaqachon bor; mijozda AllowedIPsni o'zgartirish marshrut yaratmaydi. 10.8.0.0/24, 192.168.1.0/24 kabi bo'lingan satr LAN trafigini tunnelda faqat o'sha marshrut haqiqatan mavjud bo'lganda saqlaydi.