Behovet er altid det samme: "Jeg vil kunne se mine kameraer og hente filer fra NAS'en, når jeg ikke er hjemme." Løsningen er en VPN ind i dit eget netværk – ikke portviderestilling. Her er hvordan vi sætter det op, og hvad der typisk driller undervejs.
Hvorfor ikke bare åbne en port?
Fordi alt hvad der står åbent på internettet, bliver fundet. Automatiske scannere gennemgår hele det danske IP-rum flere gange i døgnet, og en NAS eller kameraoptager med en kendt sårbarhed er kompromitteret inden for timer. En VPN eksponerer i stedet én enkelt, kryptografisk hærdet indgang, som ikke engang svarer på trafik uden en gyldig nøgle.
Vælg hvor tunnelen skal ende
- I routeren/firewallen: bedst. Du får adgang til hele netværket, og alt kører selv når andre enheder er slukket.
- På NAS'en: næstbedst, hvis routeren ikke kan VPN. Kræver dog én portviderestilling til selve VPN-porten.
- På en lille enkortscomputer: billig løsning, men endnu en enhed der skal holdes opdateret.
- Producentens relætjeneste: nemmest, men trafikken går gennem tredjepart og hastigheden er ofte begrænset.
Opsætning med WireGuard, trin for trin
- Slå WireGuard til i routeren og lad den generere serverens nøglepar.
- Vælg et internt tunnel-subnet, der ikke kolliderer med noget – fx 10.77.0.0/24. Bruger du 192.168.1.x både hjemme og på hotellet, kan tunnelen ikke rute korrekt.
- Opret én peer (nøgle) pr. enhed – telefon, bærbar, tablet. Aldrig én fælles nøgle.
- Sæt AllowedIPs til dine interne net (fx 192.168.10.0/24) for split tunnel, eller 0.0.0.0/0 hvis al trafik skal gennem hjemmet.
- Angiv endpoint med dit DDNS-navn og porten, og sæt PersistentKeepalive til 25 på mobile klienter.
- Scan QR-koden ind i mobilappen og test – først på mobildata, ikke på dit eget wifi.
Sidste punkt er vigtigt: tester du hjemmefra på eget wifi, kan tunnelen se ud til at virke, selv om den udefrakommende adgang aldrig er blevet prøvet.
CGNAT – den mur mange rammer
Er du på mobilt bredbånd, 5G eller visse fiberprodukter, deler du offentlig IP med andre kunder. Sammenlign routerens WAN-IP med den IP, en søgning på "hvad er min ip" viser. Er de forskellige, eller starter WAN-IP med 100.64-100.127, kan ingen udefra nå din router. Løsningen er enten at bede udbyderen om en offentlig IPv4 – ofte gratis eller for et mindre beløb – eller at bruge en relæbaseret løsning, hvor både din router og din telefon ringer ud til en mellemliggende tjeneste.
DNS, navne og de sidste 10 procent
Når tunnelen står, opdager mange, at IP-adresser virker, men navne ikke gør. Sæt DNS-serveren i VPN-profilen til din router eller din interne DNS, så nas.hjemme.lokal også kan slås op udefra. Har du VLAN, så husk en firewallregel, der tillader tunnel-subnettet at nå netop de net, du har brug for – ikke dem alle.
Til virksomheden
På kontorer sætter vi typisk en site-to-site tunnel op mellem hovedkontor og filial eller hjemmearbejdsplads, så printere og filservere er tilgængelige uden at brugeren skal tænke over det. Til enkeltbrugere bruger vi nøgler pr. medarbejder og en fast procedure for at spærre nøglen ved fratrædelse eller mistet telefon. Uden den procedure er en VPN-nøgle reelt en permanent hovednøgle til virksomhedens netværk.
Fejlsøgning når tunnelen ikke kommer op
Kig først på håndtrykket: viser klienten ingen "latest handshake", er trafikken slet ikke nået frem – tjek DDNS-navn, port og om udbyderen blokerer. Kommer håndtrykket, men intet virker, er det ruting eller firewall: tjek AllowedIPs og at din routers firewall tillader trafik fra tunnelinterfacet ind i LAN. Virker alt undtagen én enhed, er det typisk den enheds egen firewall eller en manglende rute tilbage til tunnel-subnettet.
Skal vi bygge netværket for dig?
Vi projekterer og installerer strukturerede netværk med switche, VLAN, PoE-kameraer, NAS og fjernadgang – både i private hjem, foreninger og virksomheder. Vi kører på Sjælland, i Vestjylland og i Aarhus-området. Ring på 66 55 22 48 eller bestil et teknikerbesøg.
