Хатні VPN-сервер недаступны: прайдзіце ланцуг NAT

Сервер адказвае ў лакальнай сетцы, правіла перанакіравання порта выглядае правільным, а знешні кліент усё роўна не можа падключыцца. Праходзіць па адной мяжы за раз хутчэй, чым чацвёрты раз рэдагаваць правіла, бо кожная мяжа пакідае свае доказы: старонка WAN маршрутызатара, трансляцыя правайдэра і слухач на хасце. Пачніце са старонкі адміністравання, якая ў вас ужо адкрыта, і скончыце тэстам з сеткі, якой вы не кіруеце. Запісвайце кожны вынік па ходзе справы, бо паслядоўнасць і ёсць дыягназ, а запомнены лік не доказ. Калі вам патрэбен толькі знешні тунель, трансляцыя не ваша праблема: блакуецца толькі незапатрабаваны ўваходны трафік.

Пачніце са старонкі WAN маршрутызатара

Увайдзіце ў маршрутызатар і чытайце старонку стану, а не спіс перанакіравання портаў. Запішыце адрас WAN, інтэрфейс, да якога ён належыць, і ці тып злучэння DHCP, PPPoE або нешта, што прадастаўляе правайдэр. Затым параўнайце гэты адрас з тым, што паведамляе знешні сэрвіс, выкарыстоўваючы тэлефон на мабільных даных, каб назіранне не вярталася праз той жа маршрутызатар. Два лікі адказваюць на розныя пытанні, і іх параўнанне — увесь сэнс гэтага кроку.

Адрас WAN, які адрозніваецца ад назіранага публічнага адраса, азначае, што вышэй за маршрутызатар ёсць хаця б адзін транслятар. Гэта яшчэ не няспраўнасць, бо шматлікія правайдэры транслююць па праекце, і сэрвіс пры гэтым працуе. Калі абодва супадаюць, адрас, хутчэй за ўсё, належыць маршрутызатару, і праблема перайшла ўнутры вашай сеткі. У любым выпадку запішыце пару з датай, бо правайдэры пераразмяркоўваюць адрасы, і параўнанне з мінулым месяцам нічога не варта.

Прайдзіце адзін хоп уверх

Запусціце traceroute з самога маршрутызатара і прачытайце першыя некалькі хопаў. Паўтаральныя публічныя адрасы, першы хоп, які адказвае прыватным адрасам, або адрас унутры агульнага дыяпазону 100.64.0.0/10 — усё гэта паказвае на транслятар вышэй. RFC 6598 вызначае гэты дыяпазон менавіта для такога разгортвання, таму бачыць яго ў полі WAN — гэта моцны сігнал, а не цікавостка. Два транслятары на шляху робяць след менш відавочным, таму чытайце заканамернасць, а не адзін радок.

Некаторыя правайдэры паказваюць прызначаны адрас толькі ў кліенцкім партале, таму зірніце туды, перш чым рабіць выснову, што маршрутызатар хлусіць. Адрас у партале, які супадае з вашым знешнім назіраннем, калі маршрутызатар паведамляе іншае, — самы ясны доказ транслятара вышэй. Захавайце абедзве старонкі ў запіс змяненняў, бо спрэчка пра тое, каму належыць якая мяжа, ідзе значна хутчэй з двума датаванымі здымкамі.

Пацвердзіце слухач і перанакіраванне

Тэст у лакальнай сетцы даказвае, што сэрвіс працуе лакальна, і не даказвае нічога пра даступнасць звонку. Шматлікія маршрутызатары адказваюць на сваё правіла перанакіравання знутры, таму тэст пятлі праходзіць, пакуль знешні шлях усё яшчэ закрыты. Пацвердзіце, што дэман прывязаны да таго адраса і порта, якія вы мяркуеце, а затым праверце звонку. Усё ніжэй — толькі чытанне.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Калі знешні тэст паказвае, што да маршрутызатара не даходзіць ніводны пакет, адкіданне адбылося вышэй, і ніякае лакальнае правіла гэтага не выправіць. Калі пакеты даходзяць, а нішто не адказвае, наступная мяжа — слухач або файрвол на хасце. Перахоп пакетаў на хасце вырашае, на што з двух вы глядзіце, і гэта хутчэй, чым яшчэ адзін круг здагадак пра правілы. Трымайце слухач і яго транспарт нязменнымі, пакуль параўноўваеце, інакш наступны тэст адкажа на іншае пытанне.

Змяніце тапалогію, а не тое ж правіла

Калі транслятар належыць правайдэру, выпраўленне — гэта іншы шлях, а не чарговае перанакіраванне. Невялікі VPS з публічным адрасам, злучаны знешнім тунелем з боку дома, ставіць дасяжную кропку перад сэрвісам. Публічны адрас ад правайдэра прасцейшы там, дзе ён ёсць, і звычайна таннейшы за ўтрыманне машыны. IPv6 цалкам прыбірае трансляцыю, пры ўмове, што сетка кліента, запісы DNS і палітыка файрвола ўсё гэта падтрымліваюць.

Дынамічны DNS абнаўляе толькі імя; ён не стварае дасяжнасці, а накіраванне яго на агульны адрас адпраўляе кліентаў на шлюз правайдэра, якім карыстаюцца і іншыя абаненты. Такая адмова выглядае дакладна як мёртвы сервер, таму запіс з папярэдніх крокаў важны. Запішыце, на які адрас развязалася імя, калі тэст не ўдаўся, і трымайце адказ разам з вынікам тэста.

Перапішыце план вакол мяжы, якой вы кіруеце: слухач, тунель і маршруты. Пакідайце старое перанакіраванне на месцы толькі пакуль яно апісвае нешта праўдзівае, бо правіла, якое больш не адпавядае тапалогіі, горш за адсутнасць правіла. Запішыце, які ўзровень насамрэч блакаваў і якія доказы гэта паказалі. Інакш наступны чалавек, які адкрые старонку адміністравання, паўторыць кожны крок гэтага шляху з самага пачатку.