Domácí VPN server není dostupný: projděte NAT řetězec

Server odpovídá v LAN, pravidlo přesměrování portu vypadá správně, a přesto se externí klient nemůže připojit. Procházení jedné hranice po druhé směrem ven je rychlejší než čtvrtá úprava pravidla, protože každá hranice zanechává vlastní důkaz: stránka WAN na routeru, překlad u poskytovatele a naslouchající služba na hostiteli. Začněte na administrační stránce, kterou už máte otevřenou, a skončete testem ze sítě, kterou nekontrolujete. Zapisujte každý výsledek průběžně, protože posloupnost je diagnóza a zapamatované číslo není důkaz. Pokud potřebujete jen odchozí tunel, překlad není váš problém: blokuje se pouze nevyžádaný příchozí provoz.

Začněte na stránce WAN routeru

Přihlaste se do routeru a čtěte stránku stavu, ne seznam přesměrování portů. Poznamenejte si adresu WAN, rozhraní, ke kterému patří, a zda je typ připojení DHCP, PPPoE nebo něco, co poskytuje poskytovatel. Potom tuto adresu porovnejte s tím, co hlásí externí služba, a použijte telefon s mobilními daty, aby pozorování nešlo zpět přes stejný router. Dvě čísla odpovídají na různé otázky a jejich porovnání je celý smysl tohoto kroku.

Adresa WAN odlišná od pozorované veřejné adresy znamená, že nad routerem stojí alespoň jeden překlad. To ještě není závada, protože mnoho poskytovatelů překládá záměrně a služba přesto funguje. Pokud se obě shodují, adresu pravděpodobně vlastní router a problém se přesunul dovnitř vaší sítě. V obou případech si dvojici zapište s datem, protože poskytovatelé adresy přerozdělují a srovnání s poznámkami z minulého měsíce nemá cenu.

Jděte o jeden skok výš

Spusťte traceroute přímo z routeru a přečtěte první skoky. Opakované veřejné adresy, první skok, který odpovídá privátní adresou, nebo adresa ve sdíleném rozsahu 100.64.0.0/10 to vše ukazuje na překlad výš. RFC 6598 definuje tento rozsah právě pro takové nasazení, a proto je jeho výskyt v poli WAN silný signál, ne zajímavost. Dva překlady v cestě dělají stopu méně zřetelnou, proto čtěte vzorec, ne jeden řádek.

Někteří poskytovatelé ukazují přidělenou adresu jen v zákaznickém portálu, tak se tam podívejte, než uzavřete, že router lže. Adresa v portálu, která se shoduje s vaším externím pozorováním, zatímco router hlásí něco jiného, je nejjasnější důkaz překladu výš. Uložte obě stránky do záznamu změn, protože spor o to, komu patří která hranice, jde mnohem rychleji se dvěma datovanými snímky.

Potvrďte naslouchající službu a přesměrování

Test v LAN dokazuje, že služba funguje lokálně, a nedokazuje nic o dostupnosti zvenčí. Mnoho routerů odpovídá na vlastní pravidlo přesměrování zevnitř, takže test smyčky projde, zatímco vnější cesta je stále zavřená. Potvrďte, že démon je vázán na adresu a port, které předpokládáte, a potom testujte zvenčí. Vše níže je jen ke čtení.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Pokud externí test ukáže, že na router nedorazí žádný paket, k odhození došlo výš a žádné místní pravidlo to nespraví. Pokud pakety dorazí a nic neodpovídá, další hranicí je naslouchající služba nebo firewall na hostiteli. Zachycení paketů na hostiteli rozhodne, na kterou z těch dvou se díváte, a zabere méně času než další kolo hádání pravidel. Při porovnávání nechte službu i její transport beze změny, jinak další test odpoví na jinou otázku.

Změňte topologii, ne stejné pravidlo

Když překlad patří poskytovateli, opravou je jiná cesta, ne další přesměrování. Malý VPS s veřejnou adresou, připojený odchozím tunelem z domácí strany, staví před službu dosažitelný koncový bod. Veřejná adresa od poskytovatele je tam, kde existuje, jednodušší a obvykle levnější než provozovat stroj. IPv6 překlad úplně odstraní, pokud klientská síť, záznamy DNS i politika firewallu všechno podporují.

Dynamické DNS aktualizuje jen jméno; dostupnost nevytváří, a nasměrování na sdílenou adresu pošle klienty na bránu poskytovatele, kterou používají i jiní zákazníci. Taková porucha vypadá přesně jako mrtvý server, a proto je záznam z předchozích kroků důležitý. Poznamenejte, na jakou adresu se jméno přeložilo, když test selhal, a odpověď uchovejte spolu s výsledkem testu.

Přepište plán kolem hranice, kterou ovládáte: naslouchající služba, tunel a trasy. Staré přesměrování nechte na místě jen dokud ještě popisuje něco pravdivého, protože pravidlo, které už topologii neodpovídá, je horší než žádné pravidlo. Zapište, která vrstva skutečně blokovala a jaký důkaz to ukázal. Jinak další člověk, který otevře administrační stránku, zopakuje každý krok této procházky od začátku.