Uydagi qurilmaga masofaviy kirish VPN orqali yetish: besh darvoza

Tijoriy internet-chiqish VPN manzilingizni yashiradi; u sizni o’z uyingiz bilan bog’lamaydi. Uy tarmog’idagi NAS yoki printerga yetish uchun o’sha tarmoqda joylashgan shlyuz va unga tunnel quradigan mijoz kerak. So’ngra paket besh tekshiruvdan o’tishi kerak, va ularning har qanday muvaffaqiyatsizligi tashqaridan bir xil ko’rinadi.

Darvoza 1: mijoz tunneni tanlashi kerak

Mijozda manzil prefiksi haqiqatan ham tunnelga yo’naltirilishini tekshiring. Faqat VPN ning o’z quyi tarmog’ini yuboradigan split-tunnel profili 192.168.x.x ni to’g’ridan-to’g’ri mahalliy interfeysdan chiqaradi, u yerda hech qayerga yetmaydi. Profil nomiga emas, mijozning marshrutlash jadvaliga qarang.

Bu telefon mijozlarida eng ko’p uchraydigan xato; ular ko’pincha sukut bo’yicha faqat DNS yoki faqat bitta prefiks yuboradi. Marshrut bo’lmasa, qo’l siqish mukammal bo’lishi mumkin, qurilma esa baribir yetib bo’lmaydigan bo’lib qoladi.

Davom etishdan oldin mijoz hovuzi manzili va uy quyi tarmog’i bir-biriga qo’shilmashini tasdiqlang.

Darvoza 2: shlyuz yo’naltirishi kerak

VPN shifri ochilgan paketni LAN ga yo’naltirishi kerak bo’lgan xostda tugaydi. Buning uchun IP yo’naltirish yoqilgan bo’lishi va xavfsizlik devori siyosati VPN interfeysidan LAN interfeysiga oqimga ruxsat berishi kerak. Router qurilmasida bu odatda ichkarida bo’ladi; strongSwan yoki WireGuard ishlaydigan Linux qutisida bu odamlar unutadigan ikkita sozlamadir. Xizmatni sinashdan oldin ikkalasini ham tekshiring, chunki har biri yakka o’zi bir xil vaqt tugashini beradi.

LAN interfeysida ushlash bilan sinab ko’ring, chunki u yerda hech qachon ko’rinmaydigan paket yo tashlangan, yo hech qachon yo’naltirilmagan.

Bu ulanishni rad etuvchi xizmatdan boshqa xato, va bu farq ko’p vaqtni tejaydi. Ruxsatni tor tuting, butun quyi tarmoq o’rniga xizmat va VPN hovuzi bilan cheklang.

Darvoza 3: javob yo’li hamma narsani hal qiladi

Maqsad o’zi ko’rgan manba manziliga javob beradi, bu tarjima qilasizmi yoki yo’qmi ga qarab mijoz hovuzi manzili yoki shlyuz bo’ladi. Agar maqsadning standart shlyuzi uy routeri bo’lsa va u routerning VPN hovuziga yo’li bo’lmasa, javob internet orqali chiqib o’ladi. Bu klassik bir tomonlama ulanish.

Ikki qonuniy yechim bor: LAN shlyuzida hovuz uchun marshrut qo’shish, yoki VPN shlyuzida source-NAT qilish, shunda maqsad doim faqat shlyuz manzilini ko’radi. Ikkinchisi osonroq va asl manba identifikatorini yo’qotadi.

Bittasini ataylab tanlang va qaysi birini yozib qo’ying, chunki xavfsizlik devori qoidalari va jurnallar shunga bog’liq. strongSwan yo’naltirish qo’llanmasi bu qarorning Linux tomonini ko’rib chiqadi.

Darvoza 4: nomlar va prefikslarning qo’shilishi

Mahalliy aniqlash nomlari marshrutlangan chegaradan o’tmaydi, shuning uchun uy ichida do’stona nom bilan ko’rinadigan qurilma tunnel orqali ko’rinmas bo’lishi mumkin. Xususiy zona uchun DNS bering yoki manzilni hujjatlashtiring. Qaysi nomdan foydalanmasin, u masofaviy mijoz marshrutlay oladigan narsaga hal bo’lishi kerak. Shuning uchun qurilma bir vaqtda manzil bilan yetib boriladigan va nom bilan ko’rinmas bo’lishi mumkin.

Qo’shiluvchi prefikslar boshqa tuzoqdir: agar mijoz hovuzi 192.168.1.0/24 bo’lsa va uy tarmog’i ham shunday bo’lsa, mijoz manzilni mahalliy deb hisoblaydi va hech qachon tunnel orqali yubormaydi.

Bir tomonni qayta raqamlang yoki uyda hech qachon uchramaydigan diapazondan hovuz ishlating.

Darvoza 5: uydan tashqaridan sinab ko’ring

Oshxonadan qilingan sinov hech narsani isbotlamaydi, chunki trafik LAN dan hech qachon chiqmasligi mumkin. Mobil hotspot yoki boshqa tarmoqdan ulanib, keyin darvozalarni tartib bilan o’ting: mijozdagi marshrut, LAN interfeysida ushlash, xizmat javobi, javobni ushlash va nomlarni hal qilish. Dalil bermaydigan birinchi darvoza ish joyidir.

Agar xizmat javob bersa-yu, nom bermasa, sizda tunnel emas, DNS muammosi bor.

Ishlayotgan konfiguratsiyani hovuz, marshrut va NAT tanlovi bilan eslatmada saqlang, chunki keyingi router almashtirishi uchtasini ham qayta o’rnatadi.