İkiqat NAT və VPN-iniz: müştəri işləyir, server işləmir

Marşrutlaşdırıcınız başqa bir marşrutlaşdırıcının arxasındadır, WAN ünvanı şəxsidir, amma VPN müştərisi yenə də qoşulur. Bu birləşmə ikiqat NAT-ın tunelləri pozacağını gözləyənləri təəccübləndirir, halbuki çevirmə ən yaxşı məhz gedən bağlantıların öhdəsindən gəlir. Eyni iki qatın arxasında VPN serveri yerləşdirmək adətən uğursuz olan haldır. Bir şeyi dəyişməzdən əvvəl bağlantının istiqamətini çəkin.

Əvvəlcə bağlantının istiqamətini çəkin

Daxili marşrutlaşdırıcının status səhifəsini açın və WAN ünvanını yazın, sonra onu açıq bir xidmətin sizin üçün bildirdiyi ünvanla müqayisə edin. Əgər ikisi fərqlidirsə, marşrutlaşdırıcınızla internet arasında ən azı bir çevirici var. Əgər WAN ünvanı 100.64.0.0/10 aralığına düşürsə, xarici çevirici çox güman ki, provayderinizindir və siz onu idarə etmirsiniz. Bu iki fakt sonrakı addımlardan hansının ümumiyyətlə işləyə biləcəyini müəyyən edir.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

İkiqat NAT ikiqat VPN deyil. Çevirmə ünvanları və portları yenidən yazır; ikinci şifrələnmiş tunel əlavə etmir və heç nəyi şifrələmir. Bu iki fikri ayrı saxlamaq vacibdir, çünki həll yolları tamamilə fərqlidir və onlardan biri ayarlar səhifəsi deyil, provayderinizlə söhbət tələb edir.

Gedən istiqamət: müştəri soruşur, çeviricilər xəritələyir

Gedən tunel maşınınızdan çıxan paketlə başlayır, ona görə hər çevirici xəritələmə yarada və cavabın geri qayıtmasına imkan verə bilər. Protokol, port və boşdayanma taymerləri həmin xəritələmənin faydalı olacaq qədər uzun yaşayıb-yaşamadığını müəyyən edir. Əksər istehlakçı marşrutlaşdırıcıları bunu heç bir konfiqurasiya olmadan həll edir.

Görünən nasazlıqlar adətən marşrutlaşdırıcıların sayı ilə deyil, gözləmə müddətləri və protokol dəstəyi ilə bağlıdır. Bir neçə dəqiqəlik sükutdan sonra düşən tunel xəritələmənin bitməsidir və keepalive standart cavabdır. IPsec-in standart NAT-traversal uzantıları var, ona görə də onun çevirmədən keçə bilmədiyini iddia etmək sadəcə yanlışdır. Əgər tunel heç qurulmursa, topologiyanı günahlandırmazdan əvvəl son nöqtəyə və etimad məlumatlarına baxın.

wg show
ping -c3 10.8.0.1

Gedən tunel bir şəbəkədən işləyib digərindən işləmirsə, dayanın. Bu müqayisə şəbəkələrə aiddir, marşrutlaşdırıcıların sayına deyil.

Gələn istiqamət: yönləndirmə yalnız sizə məxsus avadanlığı əhatə edir

Server yerləşdirmək əks istiqamətdir: internetdən yeni bağlantı gəlir və hər qatdan keçib maşınınıza çatmalıdır. Daxili marşrutlaşdırıcıdakı port yönləndirmə qaydası yalnız o halda kömək edir ki, xarici çevirici də bu trafiki sizə çatdırsın. Yerli qaydanı təkrarlamaq provayderin avadanlığına nəzarət vermir.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Daxili marşrutlaşdırıcının WAN ünvanını müşahidə etdiyiniz açıq ünvanla müqayisə edin və hər dəyərin haradan gəldiyini qeyd edin. Əgər WAN ünvanı şəxsidirsə və ya paylaşılan aralığdadırsa, xarici qat sizin konfiqurasiya edə bilmədiyiniz çevirmə edir. Qüvvəyə minə bilməyən qaydalara bir axşam sərf etməzdən əvvəl provayderdən hansı gələn əlaqəni dəstəklədiyini soruşun. Marşrutlaşdırıcını çıxarmaq və ya firewall-u geniş şəkildə söndürmək diaqnoz deyil və bir açıq port üçün pis mübadilədir.

Xarici qat provayderindirsə və yönləndirmirsə, dayanın. Onda dəstəklənən cavablar fərqli giriş üsulu və ya relay-dir, sizin tərəfinizdə daha bir qayda deyil.

Bir dəfəyə bir dəyişəni sınaqdan keçirin

Hər sınaqda bir şey dəyişin və nəticəni qeyd edin, çünki ikiqat NAT yolu tək marşrutlaşdırıcı yolundan daha çox dəyişənə malikdir. Profili və cihazı sabit saxlayın, sonra fərqli giriş şəbəkəsini müqayisə edin. Danışıqların uğursuz olub-olmadığını, sessiyanın boşdayanmadan sonra düşüb-düşmədiyini və ya yalnız şəxsi təyinatların uğursuz olduğunu qeyd edin. Bu üç müşahidə üç fərqli qata işarə edir.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Üst-üstə düşən şəxsi alt şəbəkələr heç bir çevirmənin düzəldə bilmədiyi ayrı bir tələdir. Əgər ev şəbəkəniz və uzaq şəbəkə eyni aralığı istifadə edirsə, aralarında nə qədər çevirici olmasından asılı olmayaraq marşrut konflikti yaranır. Bir tərəfi yenidən nömrələmək yeganə davamlı cavabdır.

Uzaq şlüz eyni diqqətə layiqdir, çünki onun yönləndirmə qaydaları və geri marşrutları çatışmayan hissə ola bilər. Autentifikasiyadan keçən tunelin hələ də istifadə oluna bilən tətbiq yolu olmaya bilər və bu nasazlıq müştəri tərəfindən eyni görünür. Gəzinti hansı istiqamətin uğursuz olduğunu və hansı qatın ona sahib olduğunu deyə bildiyiniz zaman bitir.