Tuis-VPN-bediener nie bereikbaar nie: stap die NAT-ketting deur

Die bediener antwoord op die LAN, die poortaanstuur-reël lyk reg, en 'n eksterne kliënt kan steeds nie verbind nie. Om een grens op 'n slag na buite te stap is vinniger as om die reël 'n vierde keer te redigeer, want elke grens laat sy eie bewyse: die router se WAN-bladsy, die ISP se vertaling, en die luisteraar op die gasheer. Begin by die administrasiebladsy wat jy reeds oop het en eindig met 'n toets vanaf 'n netwerk wat jy nie beheer nie. Skryf elke resultaat neer soos jy vorder, want die volgorde is die diagnose en 'n onthoude nommer is nie bewyse nie. As jy net 'n uitgaande tonnel nodig het, is vertaling nie jou probleem nie: slegs ongevraagde inkomende verkeer word geblokkeer.

Begin by die router se WAN-bladsy

Meld by die router aan en lees die statusbladsy eerder as die poortaanstuur-lys. Let op die WAN-adres, die koppelvlak waaraan dit behoort, en of die verbindingstipe DHCP, PPPoE of iets is wat die ISP voorsien. Vergelyk dan daardie adres met wat 'n eksterne diens rapporteer, met 'n selfoon op mobiele data sodat die waarneming nie deur dieselfde router terugreis nie. Die twee nommers beantwoord verskillende vrae, en om hulle te vergelyk is die hele punt van hierdie stap.

’n WAN-adres wat van die waargenome publieke adres verskil, beteken dat ten minste een vertaler stroomop van die router sit. Dit is nog nie 'n fout nie, want baie verskaffers vertaal by ontwerp en die diens werk steeds. As die twee ooreenstem, besit die router waarskynlik die adres en het die probleem na binne jou netwerk geskuif. Skryf die paar in elk geval met die datum neer, want verskaffers hertoeken adresse en 'n vergelyking met verlede maand se notas is waardeloos.

Stap een hop stroomop

Voer 'n traceroute vanaf die router self uit en lees die eerste paar hops. Herhaalde publieke adresse, 'n eerste hop wat met 'n private adres antwoord, of 'n adres binne die gedeelde 100.64.0.0/10-reeks wys alles na 'n stroomop-vertaler. RFC 6598 definieer daardie reeks juis vir hierdie soort ontplooiing, en daarom is dit in die WAN-veld 'n sterk sein eerder as 'n nuuskierigheid. Twee vertalers in die pad maak die spoor minder duidelik, so lees die patroon eerder as 'n enkele lyn.

Sommige verskaffers wys die toegekende adres net in die kliëntportaal, so kyk daar voordat jy aflei dat die router lieg. 'n Portaaladres wat met jou eksterne waarneming ooreenstem terwyl die router iets anders rapporteer, is die duidelikste bewys van 'n stroomop-vertaler. Neem albei bladsye in die veranderingsrekord op, want die argument oor wie watter grens besit, gaan baie vinniger met twee gedateerde beelde.

Bevestig die luisteraar en die aanstuur

'n LAN-toets bewys dat die diens plaaslik werk en bewys niks oor inkomende bereikbaarheid nie. Baie routers antwoord hul eie aanstuur-reël van binne, so 'n haarspeld-toets slaag terwyl die eksterne pad steeds gesluit is. Bevestig dat die daemon aan die adres en poort gebind is wat jy dink dit gebruik, en toets dan van buite. Alles hieronder is lees-alleen.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

As die buitetoets wys dat geen pakket by die router aankom nie, het die verwerping stroomop gebeur en geen plaaslike reël sal dit regstel nie. As pakkette aankom en niks antwoord nie, is die luisteraar of die gasheer se firewall die volgende grens. 'n Pakketopname op die gasheer beslis na watter van die twee jy kyk, en dit neem minder tyd as nog 'n rondte reël-raai. Hou die luisteraar en sy vervoer onveranderd terwyl jy vergelyk, anders beantwoord die volgende toets 'n ander vraag.

Verander die topologie, nie dieselfde reël nie

Wanneer die vertaler aan die ISP behoort, is die oplossing 'n ander pad eerder as nog 'n aanstuur. 'n Klein VPS met 'n publieke adres, verbind deur 'n uitgaande tonnel van die huis se kant, plaas 'n bereikbare eindpunt voor die diens. 'n Verskaffer-verskafde publieke adres is eenvoudiger waar dit bestaan en gewoonlik goedkoper as om 'n masjien te bedryf. IPv6 verwyder vertaling heeltemal, mits die kliëntnetwerk, die DNS-rekords en die firewall-beleid dit alles ondersteun.

Dinamiese DNS werk net 'n naam op; dit skep nie bereikbaarheid nie, en om dit na 'n gedeelde adres te wys, stuur kliënte na 'n verskaffer-poort wat ander intekenare ook gebruik. Daardie mislukking lyk presies soos 'n dooie bediener, en daarom is die rekord van die vroeër stappe belangrik. Let op na watter adres die naam opgelos het toe die toets misluk het, en hou die antwoord by die toetsresultaat.

Herskryf die plan rondom die grens wat jy beheer: die luisteraar, die tonnel en die roetes. Hou die ou aanstuur net in plek terwyl dit nog iets waars beskryf, want 'n reël wat nie meer by die topologie pas nie, is slegter as geen reël nie. Teken aan watter laag werklik geblokkeer het en watter bewyse dit gewys het. Anders herhaal die volgende persoon wat die administrasiebladsy oopmaak elke stap van hierdie wandeling van die begin af.