CGNAT arxasındakı VPN serveri niyə heç vaxt bağlantı qəbul etmir

100.64 ünvanı, başqa yerdə həll olunan dinamik DNS adı və gələn əl sıxma olmaması bir problemdir: operator NAT-ı. Təsdiqləyin, sonra çıxan trafiki relay ilə ötürün.

Router 100.72 ilə başlayan WAN ünvanı bildirir, dinamik DNS adı fərqli bir publik ünvana həll olunur və həmin routerdəki VPN serveri xaricdən heç vaxt əl sıxmanı tamamlamır. Port yönləndirmə konfiqurasiya edilib, xidmət işləyir və LAN-dan test hələ də keçir. Router jurnalında xəta kimi görünən heç nə yoxdur. Bu birləşmə operator səviyyəli NAT-dır və heç bir firewall qaydası provayderin əlində olan ünvanda port aça bilməz.

Ortaq ünvanı təsdiqləmək iki dəqiqə çəkir və bir həftəlik konfiqurasiya dəyişikliklərinin qarşısını alır.

Operator NAT-ına işarə edən əlamətlər

Routerin status səhifəsindəki WAN ünvanını xarici sorğunun bildirdiyi ünvanla müqayisə edin. 100.64.0.0/10 daxilində WAN ünvanı adi əlamətdir və 10/8, 172.16/12 və 192.168/16 özəl aralıqları eyni şeyi bildirir. Əgər traceroute eyni publik hopu təkrar göstərirsə və ya erkən hop özəl ünvanla cavab verirsə, routerlə internet arasında başqa bir tərcüməçi var. Bəzi provayderlər ayrılmış ünvanı yalnız müştəri portalında göstərir, ona görə də həmin dəyəri traceroute ilə birlikdə ixrac edin.

Protokolları və ya portları dəyişmək kömək etmir, çünki problem bağlı port deyil, gələn əlaqə qurula bilməsidir.

Yönləndirmə və dinamik DNS bunu niyə düzəldə bilmir

Port yönləndirmə qaydası routerin WAN interfeysindəki portu xəritələyir, lakin gələn trafik heç vaxt həmin interfeysə çatmır: provayder əvvəlcə onu tərcümə edir və yalnız öz cədvəlinin icazə verdiyini ötürür. Ortaq ünvanı dinamik DNS-də dərc etmək müştəriləri bir çox abunəçinin istifadə etdiyi provayder şlüzünə yönəldir, buna görə ad həll olunur və əl sıxma yenə də uğursuz olur. Hairpin testləri keçir, çünki router öz qaydasına içəridən cavab verir və UPnP-də də eyni kor nöqtə var.

Müştəri tərəfini yenidən konfiqurasiya etmək də kömək etməyəcək, çünki nasazlıq hər hansı müştəri parametrinin oxunmasından əvvəl baş verir.

Açıq marşrutlarla VPS üzərindən relay

Önə publik ünvan qoyun: trafiki daşıya bilən ən kiçik VPS-i icarəyə götürün, sonra ev routerini ona doğru zəng etdirin. Ev şəbəkəsindən çıxan UDP operator NAT-ından keçir, buna görə tunel içəridən qurulur və VPS əlçatan son nöqtəyə çevrilir. Ev tərəfi server deyil, sabit tunel ünvanı olan müştəri olur.

VPS-də müştəriyə aid kataloq qeydi əlavə edin ki, server ev alt şəbəkəsinin hansı peer-ə aid olduğunu bilsin və uyğun kernel marşrutu əlavə edin.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

iroute sətri OpenVPN-ə ev alt şəbəkəsi üçün trafiki hansı müştərinin aldığını deyir; route sətri həmin alt şəbəkəni VPS kernel cədvəlinə qoyur ki, paketlər ümumiyyətlə tunelə daxil olsun. Dərc edilmiş xidmət üçün publik portu 10.8.0.10 ünvanına yönləndirən təyinat NAT qaydası əlavə edin və net.ipv4.ip_forward parametrini aktivləşdirin.

Yolu xaricdən yoxlayın

Publik tərəfdə hər hopu yoxlayın, çünki uğurlu tunel xidmətin əlçatan olduğunu sübut etmir. VPS-də dinləmə vəziyyəti və paket tutma 'heç nə gəlmədi' ilə 'gəldi və atıldı' hallarını ayırır.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Əgər tutma telefondan paketləri göstərir, amma cavab yoxdursa, növbəti dayanacaq server konfiqurasiyası və ya firewall-dır. Əgər tutma heç nə göstərmirsə, müştəri hələ də həll edir və ya yanlış ünvana göndərir.

Əvvəlcə qiymətləndirilməyə dəyər alternativlər

Provayderdən ayrılmış IPv4 ünvanı ən qısa həlldir və adətən kiçik aylıq ödənişdir. VPN, müştəri şəbəkəsi və DNS qeydləri hamısı daşıyanda yerli IPv6 hər iki tərəfdə tərcüməni aradan qaldırır. Ev şəbəkəsində alt şəbəkə routeri olan mesh örtüyü VPS olmadan eyni relay-i təmin edir, lakin koordinasiya xidmətindən asılılıq bahasına.

Tələb sabit gələn girişdirsə və hər qayda nəzarətinizdə qalmalıdırsa, relay-i seçin. Büdcə imkan verirsə və məqsəd sadəcə bu barədə düşünməyi dayandırmaqdırsa, provayder ünvanını seçin.

Əlaqəli məqalələr