خادم VPN المنزلي غير قابل للوصول: تتبَّع سلسلة NAT

يستجيب الخادم على الشبكة المحلية، وتبدو قاعدة إعادة توجيه المنفذ صحيحة، ومع ذلك لا يستطيع عميل خارجي الاتصال. إن التقدم خطوة واحدة إلى الخارج عند كل حد أسرع من تعديل القاعدة للمرة الرابعة، لأن كل حد يترك دليله الخاص: صفحة WAN في الموجِّه، وترجمة مزوّد الخدمة، والمستمع على المضيف. ابدأ من صفحة الإدارة المفتوحة لديك بالفعل وانتهِ باختبار من شبكة لا تتحكم بها. سجّل كل نتيجة أثناء العمل، لأن التسلسل هو التشخيص والرقم المتذكَّر ليس دليلاً. إذا كنت تحتاج فقط إلى نفق صادر، فليست الترجمة مشكلتك: ما يُحجب هو الوارد غير المطلوب فقط.

ابدأ من صفحة WAN في الموجِّه

سجّل الدخول إلى الموجِّه واقرأ صفحة الحالة لا قائمة إعادة توجيه المنافذ. لاحظ عنوان WAN، والواجهة التي ينتمي إليها، وما إذا كان نوع الاتصال DHCP أو PPPoE أو شيئًا يوفّره مزوّد الخدمة. ثم قارن ذلك العنوان بما تبلّغ عنه خدمة خارجية، مستخدمًا هاتفًا على بيانات الجوال كي لا تعود الملاحظة عبر الموجِّه نفسه. الرقمان يجيبان عن سؤالين مختلفين، ومقارنتهما هي كل الغاية من هذه الخطوة.

عنوان WAN يختلف عن العنوان العام الملاحَظ يعني وجود مترجم واحد على الأقل قبل الموجِّه. وهذا ليس عيبًا بعد، لأن كثيرًا من المزوّدين يترجمون بحكم التصميم والخدمة تعمل مع ذلك. إذا تطابق الاثنان فالأرجح أن الموجِّه يملك العنوان وأن المشكلة انتقلت إلى داخل شبكتك. في الحالتين سجّل الزوجين مع التاريخ، لأن المزوّدين يعيدون توزيع العناوين ومقارنة بملاحظات الشهر الماضي لا قيمة لها.

تقدّم قفزة واحدة نحو المنبع

شغّل traceroute من الموجِّه نفسه واقرأ القفزات الأولى. العناوين العامة المتكررة، أو قفزة أولى تجيب بعنوان خاص، أو عنوان داخل النطاق المشترك 100.64.0.0/10، كلها تشير إلى مترجم في المنبع. RFC 6598 يعرّف ذلك النطاق لهذا النوع من النشر تحديدًا، ولهذا فإن رؤيته في حقل WAN إشارة قوية لا مجرد طرافة. وجود مترجمين في المسار يجعل الأثر أقل وضوحًا، فاقرأ النمط لا سطرًا واحدًا.

بعض المزوّدين لا يعرضون العنوان المخصص إلا في بوابة العملاء، فانظر هناك قبل أن تستنتج أن الموجِّه يكذب. عنوان في البوابة يطابق ملاحظتك الخارجية بينما يبلّغ الموجِّه شيئًا آخر هو أوضح دليل على مترجم في المنبع. احفظ الصفحتين في سجل التغييرات، لأن الجدل حول من يملك أي حد يصير أسرع بكثير مع صورتين مؤرَّختين.

أكّد المستمع وقاعدة إعادة التوجيه

اختبار الشبكة المحلية يثبت أن الخدمة تعمل محليًا ولا يثبت شيئًا عن قابلية الوصول من الخارج. كثير من الموجِّهات تجيب قاعدة إعادة التوجيه الخاصة بها من الداخل، فينجح اختبار الحلقة المرتدة بينما المسار الخارجي ما زال مغلقًا. تأكّد من أن الخدمة مرتبطة بالعنوان والمنفذ اللذين تظنهما، ثم اختبر من الخارج. كل ما يلي للقراءة فقط.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

إذا أظهر الاختبار الخارجي عدم وصول أي حزمة إلى الموجِّه، فقد حدث الإسقاط في المنبع ولن تصلحه أي قاعدة محلية. وإذا وصلت الحزم ولم يستجب شيء، فالحد التالي هو المستمع أو جدار ناري على المضيف. التقاط الحزم على المضيف يحسم أي الاثنين تنظر إليه، ويستغرق وقتًا أقل من جولة أخرى من تخمين القواعد. أبقِ المستمع ونقله دون تغيير أثناء المقارنة، وإلا أجاب الاختبار التالي عن سؤال آخر.

غيّر الطوبولوجيا لا القاعدة نفسها

حين يكون المترجم ملكًا لمزوّد الخدمة، فالإصلاح مسار آخر لا إعادة توجيه أخرى. خادم VPS صغير بعنوان عام، يُوصل بنفق صادر من جهة المنزل، يضع نقطة وصول يمكن الوصول إليها أمام الخدمة. العنوان العام الذي يوفّره المزوّد أبسط حيث يوجد وعادة أرخص من تشغيل جهاز. يزيل IPv6 الترجمة كليًا، بشرط أن تدعمه شبكة العميل وسجلات DNS وسياسة الجدار الناري كلها.

DNS الديناميكي يحدّث اسمًا فقط؛ وهو لا يخلق قابلية الوصول، وتوجيهه إلى عنوان مشترك يرسل العملاء إلى بوابة مزوّد يستخدمها مشتركون آخرون أيضًا. ذلك الفشل يبدو تمامًا كخادم ميت، ولهذا يهم السجل من الخطوات السابقة. سجّل العنوان الذي حُلّ إليه الاسم عند فشل الاختبار، واحفظ الجواب مع نتيجة الاختبار.

أعد كتابة الخطة حول الحد الذي تتحكم به: المستمع والنفق والمسارات. أبقِ إعادة التوجيه القديمة في مكانها فقط ما دامت تصف شيئًا صحيحًا، لأن قاعدة لم تعد تطابق الطوبولوجيا أسوأ من لا قاعدة. سجّل أي طبقة كانت تحجب فعلًا وما الدليل الذي أظهر ذلك. وإلا فإن أول شخص يفتح صفحة الإدارة سيكرر كل خطوة من هذا المسار من البداية.