Γιατί Χρειαζόμουν Απομακρυσμένη Πρόσβαση
Ήμουν εκτός σπιτιού και ήθελα κάτι αρχέια που είχα στο NAS. Δεν μπορούσα. Ήθελα να μπω στο Home Assistant να χρησιμοποιήσω το smart home μου, δεν μπορούσα. Ήθελα να δω μια σείρα από το Jellyfin μου όταν ήμουν διακοπές, δεν μπορούσα.
Όλα όσα είχα φτιάξει — Home Assistant, TrueNAS, κάμερες, AdGuard, media library — ήταν προσβάσιμα μόνο όταν ήμουν φυσικά στο σπίτι. Χρειαζόμουν έναν τρόπο να φτάνω στο οικιακό μου δίκτυο από οπουδήποτε, με ασφάλεια.
Γιατί Όχι Απλά Port Forwarding;
Η προφανής λύση είναι το port forwarding. Ανοίγεις μια πόρτα στο router, την δείχνεις σε μια υπηρεσία, και αποκτάς πρόσβαση από το internet.
Το πρόβλημα είναι ότι κάθε ανοιχτή πόρτα είναι επιφάνεια επίθεσης. Εκθέτεις μια υπηρεσία απευθείας σε ολόκληρο το internet. Αν αυτή η υπηρεσία έχει κάποιο κενό ασφαλείας — και πολλές έχουν — οποιοσδήποτε μπορεί να προσπαθήσει να το εκμεταλλευτεί. Bots σκανάρουν το internet συνεχώς ψάχνοντας ανοιχτές θύρες. Τη στιγμή που κάνεις forward τη θύρα 8123 για το Home Assistant ή τη θύρα 443 για το NAS σου, αρχίζεις να δέχεσαι probes.
Θα μπορούσες να το θωρακίσεις με δυνατά passwords, fail2ban και TLS. Αλλά τώρα πρέπει να συντηρείς την ασφάλεια για κάθε εκτεθειμένη υπηρεσία ξεχωριστά. Ένα λάθος και κάποιος είναι μέσα στο δίκτυό σου.
Δεν ήθελα τίποτα απ' όλα αυτά. Ήθελα ένα μοναδικό σημείο εισόδου με ισχυρή αυθεντικοποίηση. Αυτό ακριβώς κάνει το VPN.
Τι Είναι VPN;
Το VPN δημιουργεί ένα κρυπτογραφημένο tunnel μεταξύ της συσκευής σου και του οικιακού σου δικτύου. Όταν συνδέομαι στο VPN μου από μια καφετέρια, η συσκευή μου συμπεριφέρεται σαν να ήταν συνδεδεμένη στο οικιακό μου δίκτυο. Παίρνω τοπική IP, μπορώ να φτάσω σε όλες τις υπηρεσίες μου μέσω των τοπικού DNS τους, και η κίνηση μεταξύ της συσκευής μου και του σπιτιού είναι κρυπτογραφημένη.
Γιατί WireGuard
Όταν θες να στήσεις ένα VPN, οι βασικές σου επιλογές είναι OpenVPN και WireGuard. Επέλεξα WireGuard γιατί είναι:
Γρήγορο: Το WireGuard είναι ενσωματωμένο στον πυρήνα του Linux. Οι συνδέσεις γίνονται σχεδόν ακαριαία — πατάω connect και συνδέεται σε λιγότερο από ένα δευτερόλεπτο. Το OpenVPN χρειάζεται περισσότερο χρόνο.
Ενσωματωμένο στο UniFi: Το UCG Ultra έχει native υποστήριξη WireGuard. Δεν χρειάζεται επιπλέον λογισμικό, δεν χρειάζεται containers. Το ρύθμισα από τον UniFi controller δουλεύει σκανάροντας ένα qr code.
Εύκολο για την οικογένεια: Ο αδερφός μου χρησιμοποιεί επίσης VPN για πρόσβαση στο NAS απομακρυσμένα. Οι εφαρμογές WireGuard σε iOS και Android είναι σύγχρονες και απλές στην χρήση τους.
Το OpenVPN είναι δοκιμασμένο και έχει περισσότερη ευελιξία, αλλά για ένα home lab το WireGuard ταιριάζει καλύτερα. Λιγότερα πράγματα να ρυθμίσεις και λιγότερα πράγματα να χαλάσουν.
Πώς Λειτουργεί στο UniFi Setup Μου
Το WireGuard τρέχει στο UCG Ultra ως VPN server. Αυτό λειτουργεί χάρη στο bridge mode του ρούτερ του παρόχου με το UCG. Το UCG κρατάει την πραγματική δημόσια IP, οπότε οι VPN clients μπορούν να συνδεθούν απευθείας χωρίς να υπάρχει πρόβλημα double NAT.
Η ρύθμισή του στο UniFi πήρε λίγα λεπτά:
Ενεργοποίηση του WireGuard VPN server στον UniFi controller
Ορισμός της θύρας ακρόασης
Δημιουργία client profile για κάθε συσκευή
Σκανάρισμα του QR code στη συσκευή ή import του config αρχείου
Κάθε client παίρνει το δικό του ζευγάρι κλειδιών. Το UCG δρομολογεί την κίνησή τους μέσα στο οικιακό δίκτυο. Όταν συνδέομαι, παίρνω μια IP στο VPN range και μπορώ να φτάσω τα VLANs που χρειάζομαι. [ΔΙΑΓΡΑΜΜΑ ΣΕ ΕΙΚΟΝΑ]
Γιατί Έχει Σημασία το DDNS
Ο πάροχός μου δίνει δυναμική δημόσια IP. Αυτό σημαίνει πως αλλάζει κάθε λίγες μέρες. Οι VPN clients χρησιμοποιούν μια IP στην οποία συνδέονται. Αν αλλάξει η IP και εξακολουθούν να έχουν την παλιά IP στη ρυθμισή του τους, οι συνδέσεις αποτυγχάνουν.
Το DDNS — Dynamic DNS — λύνει αυτό. Ενημερώνει ένα domain name να δείχνει στην τρέχουσα IP μου. Οι VPN clients μου συνδέονται στο domain `lefteris-vpn.mydomain.com` αντί για μια σκέτη IP διεύθυνση. Όταν αλλάξει η IP, το DDNS ανανεώνει την εγγραφή και όλα συνεχίζουν να δουλεύουν.
Χωρίς DDNS θα έπρεπε να ενημερώνω κάθε VPN config χειροκίνητα όταν αλλάζει η IP μου και να το ξαναμοιράζω σε κάθε μέλος της οικογένειας που χρησιμοποιεί VPN.
Το DDNS Setup Μου με FreeDNS
Χρησιμοποιώ FreeDNS (afraid.org) για την DDNS εγγραφή. Είναι δωρεάν, απλό και αξιόπιστο. Το UCG router μου αναλαμβάνει τις ανανεώσεις. Κάθε λίγα λεπτά ελέγχει τη δημόσια IP μου και αν έχει αλλάξει, καλεί το FreeDNS update URL. Η εγγραφή ανανεώνεται και οι VPN clients λειτουργούν αυτόματα.
Επειδή το UCG router κρατάει την πραγματική δημόσια IP (χάρη στο bridge mode), είναι εύκολο να εντοπίσει αλλαγές IP και να ανανεώσει το dns record αξιόπιστα. Με double NAT αυτό δεν θα λειτουργούσε — το ucg θα έβλεπε την ιδιωτική IP του router του παρόχου αντί για την πραγματική δημόσια.
Που Έχω Πρόσβαση Απομακρυσμένα
Τα πάντα. Όταν το VPN είναι συνδεδεμένο, η συσκευή μου είναι στο οικιακό δίκτυο. Μπορώ να έχω πρόσβαση σε:
Home Assistant: έλεγχος αισθητήρων, ενεργοποίηση αυτοματισμών, προβολή dashboards
TrueNAS: πρόσβαση σε αρχεία, διαχείριση datasets, streaming
Reolink NVR: βίντεο live και playback από τις κάμερες
AdGuard Home: έλεγχος query logs, προσαρμογή blocklists
Portainer / Dozzle: διαχείριση Docker containers και ανάγνωση logs
UniFi controller: διαχείριση δικτύου αν χρειαστεί
Εκτυπωτές: εκτύπωση από οπουδήποτε
Το τοπικό DNS λειτουργεί επίσης. Γράφω ha.homelab και φορτώνει το Home Assistant. nas.homelab ανοίγει το TrueNAS. Όλες οι[τοπικές DNS εγγραφές λειτουργούν γιατί οι VPN clients χρησιμοποιούν το Pi του σπιτιού ως DNS server.
Firewall και Ασφάλεια
Το VPN endpoint είναι η μόνη πόρτα εκτεθειμένη στο internet. Αυτή είναι ολόκληρη η δημόσια επιφάνεια επίθεσης του οικιακού μου δικτύου: μία πόρτα, ένα πρωτόκολλο, με ισχυρή ασφάλεια.
Το WireGuard χρησιμοποιεί κρυπτογραφία δημοσίου κλειδιού. Κάθε client έχει ένα μοναδικό ζευγάρι κλειδιών. Δεν υπάρχουν passwords να σπάσεις με brute force, δεν υπάρχουν usernames να μαντέψεις. Αν θέλω να ανακαλέσω πρόσβαση ενός client, σβήνω το κλειδί του από το UCG.
Οι VPN clients αποκτούν πρόσβαση στα VLANs βάσει routing. Μπορώ να ελέγξω σε ποια subnets μπορεί να φτάσει ένας VPN client ρυθμίζοντας τα allowed IPs στο client profile. Στην πράξη, δίνω στις συσκευές μου πρόσβαση στα Trusted, Services και Surveillance VLANs. Το profile του αδερφού μου φτάνει μόνο στο Services — πρόσβαση στο NAS αλλά όχι σε κάμερες ή management.
Τι Θα Βελτίωνα Αργότερα
Split tunnel vs full tunnel: Αυτή τη στιγμή το VPN μου στέλνει όλη την κίνηση μέσω του tunnel — συμπεριλαμβανομένου του κανονικού browsing. Αυτό σημαίνει ότι η ταχύτητα internet μου όταν είμαι συνδεδεμένος περιορίζεται από την ταχύτητα upload του σπιτιού μου (250 Mbps). Θα μπορούσα να μεταβώ σε split tunnel — μόνο η κίνηση προς το οικιακό δίκτυο περνάει από το VPN, η κίνηση internet πηγαίνει απευθείας. Λιγότερο latency για browsing, αλλά το DNS δεν θα περνούσε από το AdGuard. Trade-off που δεν έχω αποφασίσει ακόμα.
Δεύτερο VPN endpoint: Αν πέσει το UCG, πέφτει και το VPN. Ένας δεύτερος WireGuard server στο Pi ή στο NAS θα μου έδινε ένα εφεδρικό σημείο εισόδου. Δεν είναι επείγον — το UCG είναι σταθερό — αλλά καλό να το έχω στο μυαλό μου.
Αυτό είναι μέρος της σειράς μου Φτιάχνοντας Ένα Έξυπνο Σπίτι — όπου καταγράφω τα πάντα που έφτιαξα, τι δούλεψε, τι χάλασε και τι έμαθα. Ακολουθήσε με για πρακτικά άρθρα που απευθύνονται σε developers που θέλουν να φτιάξουν πραγματικά συστήματα.
