Ev VPN serverinə çatmaq mümkün deyil: NAT zəncirini addım-addım keçin

Server LAN-da cavab verir, port yönləndirmə qaydası düzgün görünür, amma kənar müştəri hələ də qoşula bilmir. Hər dəfə bir sərhədi bayıra doğru keçmək qaydanı dördüncü dəfə redaktə etməkdən sürətlidir, çünki hər sərhəd öz sübutunu qoyur: router-in WAN səhifəsi, ISP-nin tərcüməsi və hostdakı dinləyici. Artıq açıq olan idarəetmə səhifəsindən başlayın və nəzarət etmədiyiniz şəbəkədən testlə bitirin. İrəlilədikcə hər nəticəni yazın, çünki ardıcıllıq diaqnozdur və yadda saxlanılan rəqəm sübut deyil. Əgər sizə yalnız çıxan tunel lazımdırsa, tərcümə sizin probleminiz deyil: yalnız istənilməyən daxil olan trafik bloklanır.

Router-in WAN səhifəsindən başlayın

Router-ə daxil olun və port yönləndirmə siyahısını deyil, status səhifəsini oxuyun. WAN ünvanını, onun aid olduğu interfeysi və bağlantı tipinin DHCP, PPPoE yoxsa ISP-nin təmin etdiyi başqa bir şey olduğunu qeyd edin. Sonra həmin ünvanı xarici xidmətin bildirdiyi ilə müqayisə edin; mobil data ilə telefondan istifadə edin ki, müşahidə eyni router-dən geri keçməsin. İki rəqəm fərqli suallara cavab verir və onları müqayisə etmək bu addımın bütün məqsədidir.

Müşahidə olunan ümumi ünvandan fərqlənən WAN ünvanı router-dən yuxarıda ən azı bir tərcüməçinin olduğunu göstərir. Bu hələ nasazlıq deyil, çünki bir çox provayder dizayn olaraq tərcümə edir və xidmət yenə işləyir. Əgər ikisi üst-üstə düşürsə, ünvan çox güman router-ə aiddir və problem şəbəkənizin içinə keçib. Hər halda cütü tarixlə birlikdə yazın, çünki provayderlər ünvanları yenidən təyin edir və keçən ayın qeydləri ilə müqayisə dəyərsizdir.

Bir hop yuxarı get

Router-in özündən traceroute işlədin və ilk bir neçə hopu oxuyun. Təkrarlanan ümumi ünvanlar, şəxsi ünvanla cavab verən ilk hop və ya ortaq 100.64.0.0/10 diapazonundakı ünvan hamısı yuxarıda tərcüməçiyə işarə edir. RFC 6598 həmin diapazonu məhz bu cür yerləşdirmə üçün müəyyən edir, buna görə onu WAN sahəsində görmək maraqlı təsadüf deyil, güclü siqnaldır. Yolda iki tərcüməçi izi daha az aydın edir, ona görə tək sətir deyil, nümunəni oxuyun.

Bəzi provayderlər ayrılmış ünvanı yalnız müştəri portalında göstərir, ona görə router-in yalan danışdığı qənaətinə gəlməzdən əvvəl ora baxın. Portaldakı ünvanın xarici müşahidənizlə üst-üstə düşməsi, router isə başqa şey bildirməsi yuxarıdakı tərcüməçinin ən aydın sübutudur. Hər iki səhifəni dəyişiklik qeydinə köçürün, çünki hansı sərhədin kimə aid olduğu barədə mübahisə iki tarixli şəkillə daha tez bitir.

Dinləyicini və yönləndirməni təsdiqləyin

LAN testi xidmətin yerli işlədiyini sübut edir və daxil olan əlçatanlıq barədə heç nə sübut etmir. Bir çox router öz yönləndirmə qaydasına içəridən cavab verir, ona görə ilgək testi keçir, halbuki xarici yol hələ bağlıdır. Demonun inandığınız ünvan və porta bağlandığını təsdiqləyin, sonra kənardan test edin. Aşağıdakıların hamısı yalnız oxumaqdır.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Əgər kənar test router-ə heç bir paketin çatmadığını göstərirsə, düşmə yuxarıda baş verib və heç bir yerli qayda onu düzəltməyəcək. Əgər paketlər çatır və heç nə cavab vermirsə, növbəti sərhəd dinləyici və ya host firewall-ıdır. Hostda paket tutma hansı ikisinə baxdığınızı həll edir və növbəti qayda təxminindən az vaxt aparır. Müqayisə zamanı dinləyicini və onun nəqliyyatını dəyişməz saxlayın, yoxsa növbəti test başqa suala cavab verər.

Eyni qaydanı deyil, topologiyanı dəyişin

Tərcüməçi ISP-yə aiddirsə, düzəliş başqa bir yönləndirmə deyil, başqa bir yoldur. Ümumi ünvanı olan kiçik bir VPS, ev tərəfindən çıxan tunellə birləşdirilərək xidmətin qarşısına çatıla bilən bir son nöqtə qoyur. Provayderin verdiyi ümumi ünvan mövcud olduğu yerdə daha sadədir və maşın saxlamaqdan adətən ucuzdur. IPv6 tərcüməni tamamilə aradan qaldırır, bir şərtlə ki, müştəri şəbəkəsi, DNS qeydləri və firewall siyasəti buna dəstək versin.

Dinamik DNS yalnız adı yeniləyir; əlçatanlıq yaratmır və onu ortaq ünvana yönəltmək müştəriləri digər abunəçilərin də istifadə etdiyi provayder şlüzünə göndərir. Bu nasazlıq ölü server kimi görünür, buna görə əvvəlki addımlardan qalan qeyd vacibdir. Test uğursuz olanda adın hansı ünvana çevrildiyini qeyd edin və cavabı test nəticəsi ilə birlikdə saxlayın.

Planı nəzarət etdiyiniz sərhədin ətrafında yenidən yazın: dinləyici, tunel və marşrutlar. Köhnə yönləndirməni yalnız hələ də doğru bir şeyi təsvir etdiyi müddətdə saxlayın, çünki topologiyaya artıq uyğun gəlməyən qayda qaydasızlıqdan pisdir. Hansı qatın əslində blokladığını və bunu hansı sübutun göstərdiyini qeyd edin. Əks halda idarəetmə səhifəsini açan növbəti şəxs bu yürüşün hər addımını əvvəldən təkrarlayacaq.