Servidor VPN domèstic inaccessible: recorre la cadena NAT

El servidor respon a la LAN, la regla de reenviament de port sembla correcta i, tot i així, un client extern no es pot connectar. Avançar cap enfora una frontera alhora és més ràpid que editar la regla per quarta vegada, perquè cada frontera deixa la seva pròpia evidència: la pàgina WAN del router, la traducció del proveïdor i l'oient de l'amfitrió. Comença per la pàgina d'administració que ja tens oberta i acaba amb una prova des d'una xarxa que no controles. Anota cada resultat a mesura que avancis, perquè la seqüència és el diagnòstic i un número recordat no és cap evidència. Si només necessites un túnel de sortida, la traducció no és el teu problema: només es bloqueja el trànsit entrant no sol·licitat.

Comença per la pàgina WAN del router

Inicia sessió al router i llegeix la pàgina d'estat, no la llista de reenviament de ports. Anota l'adreça WAN, la interfície a què pertany i si el tipus de connexió és DHCP, PPPoE o una altra cosa que proporcioni el proveïdor. Després compara aquesta adreça amb el que informa un servei extern, fent servir un telèfon amb dades mòbils perquè l'observació no torni a passar pel mateix router. Els dos números responen preguntes diferents, i comparar-los és tot l'objectiu d'aquest pas.

Una adreça WAN que difereix de l'adreça pública observada vol dir que hi ha almenys un traductor per sobre del router. Encara no és cap avaria, perquè molts proveïdors tradueixen per disseny i el servei continua funcionant. Si les dues coincideixen, probablement el router té l'adreça i el problema s'ha traslladat a dins de la teva xarxa. En qualsevol cas, anota la parella amb la data, perquè els proveïdors reassignen adreces i una comparació amb les notes del mes passat no val res.

Puja un salt cap amunt

Executa un traceroute des del mateix router i llegeix els primers salts. Adreces públiques repetides, un primer salt que respon amb una adreça privada o una adreça dins del rang compartit 100.64.0.0/10 assenyalen totes un traductor aigües amunt. RFC 6598 defineix aquest rang justament per a aquest tipus de desplegament, i per això veure'l al camp WAN és un senyal fort i no una curiositat. Dos traductors en el camí fan el traç menys evident, així que llegeix el patró i no una sola línia.

Alguns proveïdors només mostren l'adreça assignada al portal de client, així que mira-hi abans de concloure que el router menteix. Una adreça del portal que coincideix amb la teva observació externa mentre el router informa una altra cosa és la prova més clara d'un traductor aigües amunt. Captura les dues pàgines al registre de canvis, perquè la discussió sobre qui posseeix quina frontera va molt més de pressa amb dues imatges datades.

Confirma l'oient i el reenviament

Una prova a la LAN demostra que el servei funciona localment i no demostra res sobre l'abast des de fora. Molts routers responen la seva pròpia regla de reenviament des de dins, així que una prova de bucle té èxit mentre el camí extern continua tancat. Confirma que el dimoni està lligat a l'adreça i el port que creus que fa servir i després prova des de fora. Tot el que hi ha a continuació és de només lectura.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Si la prova externa mostra que no arriba cap paquet al router, la caiguda ha passat aigües amunt i cap regla local la repararà. Si els paquets arriben i no respon res, la següent frontera és l'oient o el tallafoc de l'amfitrió. Una captura de paquets a l'amfitrió decideix quin dels dos estàs mirant i triga menys que una altra ronda d'endevinar regles. Mantén l'oient i el seu transport sense canvis mentre compares, o la propera prova respondrà una altra pregunta.

Canvia la topologia, no la mateixa regla

Quan el traductor és del proveïdor, la solució és un camí diferent i no un altre reenviament. Un VPS petit amb adreça pública, unit per un túnel de sortida des del costat de casa, posa un extrem abastable davant del servei. Una adreça pública proporcionada pel proveïdor és més simple on existeix i normalment més barata que mantenir una màquina. IPv6 elimina la traducció del tot, sempre que la xarxa del client, els registres DNS i la política del tallafoc ho suportin tot.

DNS dinàmic només actualitza un nom; no crea abast, i apuntar-lo a una adreça compartida envia els clients a una passarel·la del proveïdor que altres abonats també fan servir. Aquesta fallada sembla exactament un servidor mort, i per això importa el registre dels passos anteriors. Anota a quina adreça va resoldre el nom quan la prova va fallar i guarda la resposta amb el resultat de la prova.

Reescriu el pla al voltant de la frontera que controles: l'oient, el túnel i les rutes. Mantén el reenviament antic només mentre encara descrigui una cosa certa, perquè una regla que ja no encaixa amb la topologia és pitjor que cap regla. Anota quina capa bloquejava realment i quina evidència ho va mostrar. Si no, la propera persona que obri la pàgina d'administració repetirà cada pas d'aquest recorregut des del principi.