Как подключиться к устройству в локальной сети из интернета через купленный у провайдера сервер?

Question

[spazmoGnom]

Хочу сделать так, чтобы я мог подключиться к устройству в локальной сети стоящим за NAT (нет белого IP) из интернета через купленный у провайдера сервер/vps.

Имеется компьютер (назовём его К1) на локальном адресе 192.168.1.10 к примеру. И есть своя VPS с белым IP (пусть будет 88.77.66.55). Требуется сделать так, чтобы у К1 порты 80, 443, и все порты с 1000 по 65535 были видны по адресу VPS с соответствующим портом. Всё локальное дело стоит за keenetic ultra роутером, хотя могу добавить mikrotik hap или другой необходимый роутер до 3-4к ценой (но если есть возможность без оного - будет замечательно)

То есть делаю запрос на 88.77.66.55:8080 и я получаю ответ от K1 с 8080 порта. И все остальные порты так же.

Есть ли у кого готовый туториал как такое настроить или можете посоветовать куда начать копать и в какой стороне (может статьи какие) или какой функционал может помочь мне решить эту потребность?

Answer 1

[Valentin Barbolin]

Тебе необходимо
- поднять VPN между 88.77.66.55 и 192.168.1.10
- пусть адреса внутри VPN будут 10.200.200.1 и 10.200.200.2
- настроить проброс с адреса 88.77.66.55 на 10.200.200.2

В качестве VPN рекомендую Wireguard, самый просто в настройке.

Ниже примерный минимального конфига, не забываем про безопасность (закрыть ненужные порты). Не забудь поменять $WAN$ на свой интерфейс. Важно, что бы при пробросе портов весь трафик от 192.168.1.10 ходил через VPN или использовать на 88.77.66.55 nginx-proxy.

spoiler

https://habr.com/ru/post/486452/
### Install the WireGuard and WireGuard tools.
sudo apt install wireguard-dkms wireguard-tools

### Enable the WireGuard kernel module and check the status
sudo modprobe wireguard && lsmod | grep wireguard

### Generate keys
wg genkey | tee wg-server-private.key | wg pubkey > wg-server-public.key
wg genkey | tee wg-client-private.key | wg pubkey > wg-client-public.key

### Server config /etc/wireguard/wg0.conf
[Interface]
Address = 10.200.200.1/24
ListenPort = 51820
PrivateKey = $wg-server-private.key$

[Peer]
PublicKey = $wg-client-public.key$
AllowedIPs = 10.200.200.2/32

### Restart server wg
sudo systemctl restart wg-quick

### Client config
[Interface]
PrivateKey = $wg-client-private.key $
Address = 10.200.200.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = $wg-server-public.key$
AllowedIPs = 0.0.0.0/0
Endpoint = 88.77.66.55:51820

## Allow Forward
sysctl -w net.ipv4.ip_forward=1

### Firewall
iptables -t nat -A POSTROUTING -s 10.200.200.0/24 -o $WAN$ -j MASQUERADE
iptables -t nat -A PREROUTING -i $WAN$ -p tcp -m tcp --dport 80 -j DNAT --to-destination 10.200.200.2
iptables -t nat -A PREROUTING -i $WAN$ -p tcp -m tcp --dport 443 -j DNAT --to-destination 10.200.200.2

Comments

[spazmoGnom]

Почти то, что нужно, разве что при реализации некоторые мелкие детали всё же отличались. В частности:

• для поднятия wireguard использовал easy-wg-quick (для тех, кому нужно подробно всё описывать: vpn сервер поднимается на VPS, а роутером уже подключаемся к этой VPN)
  
• этот easy-wg-quick генерировал много PostUp и PostDown конфигов. С одной стороны хорошо, что я об этом узнал и написал iptables правила в них, с другой стороны там пришлось отключить все правила, кроме MASQUERADE и net.ipv4.ip_forward
  
• пробрасывание трафика не хотело заводиться с указанием -o eth0 и -i eth0. Я не знаю в чем дело. Точнее оно заводилось, но работало очень плохо (ответ приходил в 1 случае из 10, в остальных смерть по таймауту). Возможно я неправильно что-то готовил, но когда я удалил все эти указания и переместил PostUp с sysctl -q -w net.ipv4.ip_forward=1 наверх, то всё заработало и без указания WAN
  

Так же тем, кто тоже решает похожую проблему и увидел это решение, рекомендую сразу прочесть документацию на гитхабе по easy-wg-quick, так как там указано как порт для подключения сделать не рандомным и как сделать подсеть не рандомной.

Кстати, keentic-а хватило для всего этого дела. У него можно установить wireguard клиент, опустить (оно по дефолту опущено) на самый низ приоритет подключения (чтобы мы через него в интернет не ходили без надобности), а потом в переадресации портов прокинуть все нужные диапозоны и/или порты на VPS, которая уже будет их ловить с помощью iptables.

Спасибо, вы очень помогли

Answer 2

[АртемЪ]

1. Поднимаете на VPS с белым IP VPN сервер. Любой удобный вам.
   
2. Настраиваете на устройстве К1 с серым IP VPN клиент, чтобы он подключался к VPN серверу автоматически.
   
3. В настройках фаервола VPS пробрасываем нужные порты на IP адрес К1 в VPN.
   

Comments

[spazmoGnom]

Спасибо, ваш ответ вместе с ответом Андрея Барболина мне помогли.

Answer 3

[ky0]

Это делается не прокидыванием портов "с адреса VPS", а банальной настройкой VPNа - чтобы оба устройства, между которыми нужна передача данных, оказались в одной сети. Берите любой гайд с Хабра, хоть OpenVPN, хоть Wireguard.

Comments

[spazmoGnom]

Не совсем понимаю как это поможет в любом случае. Даже если два устройства окажутся в одной сети, то всё равно останется та же самая задача перенаправления всего трафика с одной машины на другую. Можете скинуть ссылку на статью где примерно есть то, о чём я говорю, так как я пока что нагуглил только туториалы как поднять свой ВПН, но это совершенно не то что мне нужно.

[ky0]

spazmoGnom, вы хотите, чтобы порты были доступны для всего интернета? Тогда нужна связь с VPS - впном ли, SSH-туннелем или ещё как-то.

Я сначала подумал, что доступ нужен из какого-то конкретного места - тогда было бы достаточно, как я и сказал, поднять впн с обеих точек до VPS. В случае, если нужно открыть порты в интернет - нужно помимо туннеля ещё и пробросить порты на фаерволле VPS.

Answer 4

[Karpion]

Если NAT делает подвластное Вам устройство - можно настроить проброс портов внутрь сети. Сделать это можно для всего мира (т.е. любой желающий сможет законнектиться к устройству в локальной сети); или не для всех, а для избранных IP-адресов.

Можно настроить не проброс портов, а SSh-туннель. Мануал есть на Хабре, искать по слову "ssh". Инициировать SSh-туннель может и Ваш VPS, и устройство в локальной сети.

Можно настроить VPN от устройства в локальной сети к Вашему VPS. Инициировать VPN-соединение должно устройство в локальной сети.

Answer 5

[Gregory]

VPN
SSH tunnel

Answer 6

[pindschik]

Решайте задачу в обратную сторону. Подключайтесь в белому IP вашего VPS, и задним ходом получите доступ в локалку.
Только сперва убедитесь - не режет ли провайдер такие подключения. VPN - обычно это отдельная услуга и вам ее не дадут.