NAT dwbl a'ch VPN: mae'r cleient yn gweithio, nid y gweinydd

Mae eich llwybrydd y tu ôl i lwybrydd arall, mae'r cyfeiriad WAN yn breifat, ac mae'r cleient VPN yn cysylltu o hyd. Mae'r cyfuniad hwnnw'n syndod i bobl sy'n disgwyl i NAT dwbl dorri twneli, ond cysylltiadau allanol yw'r peth y mae cyfieithu yn ei drin orau. Cynnal gweinydd VPN y tu ôl i'r un ddwy haen yw'r achos sy'n methu fel arfer. Lluniwch gyfeiriad y cysylltiad cyn newid unrhyw beth.

Lluniwch gyfeiriad y cysylltiad yn gyntaf

Agorwch dudalen statws y llwybrydd mewnol ac ysgrifennwch ei gyfeiriad WAN, yna cymharwch ef â'r cyfeiriad y mae gwasanaeth cyhoeddus yn ei adrodd i chi. Os yw'r ddau yn wahanol, mae o leiaf un cyfieithydd rhwng eich llwybrydd a'r rhyngrwyd. Os yw'r cyfeiriad WAN yn disgyn o fewn 100.64.0.0/10, mae'r cyfieithydd allanol yn perthyn i'ch darparwr yn ôl pob tebyg, ac nid ydych yn ei reoli. Mae'r ddau ffaith hynny'n penderfynu pa un o'r camau diweddarach a all weithio o gwbl.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Nid yw NAT dwbl yn VPN dwbl. Mae cyfieithu yn ailysgrifennu cyfeiriadau a phorthladdoedd; nid yw'n ychwanegu ail dwnnel amgryptiedig, ac nid yw'n amgryptio unrhyw beth. Mae cadw'r ddau syniad ar wahân yn bwysig oherwydd bod y datrysiadau'n hollol wahanol, ac mae un ohonynt yn golygu sgwrs â'ch darparwr yn hytrach na thudalen osodiadau.

Allanol: mae'r cleient yn gofyn, mae'r cyfieithwyr yn mapio

Mae twnnel allanol yn dechrau gyda phecyn o'ch peiriant, felly gall pob cyfieithydd greu mapiad a gadael i'r ateb ddod yn ôl i mewn. Y protocol, y porthladd a'r amseryddion segur sy'n penderfynu a yw'r mapiad hwnnw'n goroesi'n ddigon hir i fod yn ddefnyddiol. Mae'r rhan fwyaf o lwybryddion defnyddwyr yn ymdopi â hyn heb unrhyw ffurfweddiad o gwbl.

Mae'r methiannau sy'n ymddangos fel arfer yn ymwneud ag amserau allan a chymorth protocol yn hytrach na nifer y llwybryddion. Mae twnnel sy'n disgyn ar ôl ychydig funudau o dawelwch yn fapiad sy'n dod i ben, a keepalive yw'r ateb safonol. Mae gan IPsec estyniadau NAT-traversal safonol, felly mae honni na all groesi cyfieithu yn syml yn anghywir. Os nad yw'r twnnel yn sefydlu o gwbl, edrychwch ar y pwynt terfynol a'r manylion mewngofnodi cyn beio'r topoleg.

wg show
ping -c3 10.8.0.1

Stopiwch os yw'r twnnel allanol yn gweithio o un rhwydwaith ac nid o un arall. Mae'r gymhariaeth honno yn ymwneud â'r rhwydweithiau, nid â nifer y llwybryddion.

Mewnol: dim ond offer rydych yn berchen arno y mae anfon ymlaen yn ei gynnwys

Cynnal gweinydd yw'r cyfeiriad gwrthdro: mae cysylltiad newydd yn dod o'r rhyngrwyd ac yn gorfod cyrraedd eich peiriant trwy bob haen. Nid yw rheol anfon ymlaen porthladd ar y llwybrydd mewnol o gymorth oni bai bod y cyfieithydd allanol hefyd yn danfon y traffig hwnnw atoch. Nid yw ailadrodd y rheol leol yn rhoi rheolaeth dros offer y darparwr.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Cymharwch gyfeiriad WAN y llwybrydd mewnol â'r cyfeiriad cyhoeddus a welsoch, a nodwch o ble y daeth pob gwerth. Os yw'r cyfeiriad WAN yn breifat neu o fewn yr amrediad a rennir, mae'r haen allanol yn gwneud cyfieithu na allwch ei ffurfweddu. Gofynnwch i'r darparwr pa gyrhaeddiad mewnol y mae'n ei gefnogi cyn treulio noson ar reolau na allant ddod i rym. Nid yw tynnu llwybrydd neu analluogi mur tân yn eang yn ddiagnosis, ac mae'n fargen wael am un porthladd agored.

Stopiwch os yw'r haen allanol yn perthyn i'r darparwr ac nad yw'n anfon ymlaen. Yna'r atebion a gefnogir yw dull mynediad gwahanol neu relái, nid rheol arall ar eich ochr chi.

Profwch un newidyn ar y tro

Newidiwch un peth ym mhob prawf a chofnodwch y canlyniad, oherwydd mae gan lwybr NAT dwbl fwy o newidynnau na llwybr un llwybrydd. Cadwch y proffil a'r ddyfais yn sefydlog, yna cymharwch rwydwaith mynediad gwahanol. Nodwch a yw'r trafodaethau'n methu, a yw'r sesiwn yn disgyn ar ôl seguryd, neu a yw dim ond cyrchfannau preifat yn methu. Mae'r tri arsylwi hynny'n cyfeirio at dair haen wahanol.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Mae is-rwydweithiau preifat sy'n gorgyffwrdd yn fagl ar wahân nad yw unrhyw faint o gyfieithu yn ei thrwsio. Os yw eich rhwydwaith cartref a'r rhwydwaith pell yn defnyddio'r un amrediad, mae gwrthdaro llwybr yn ymddangos ni waeth faint o gyfieithwyr sydd rhyngddynt. Ailrifo un ochr yw'r unig ateb parhaus.

Mae'r porth pell yn haeddu'r un sylw, oherwydd gall ei reolau anfon ymlaen a'i lwybrau dychwelyd fod y darn coll. Gall twnnel sy'n dilysu fod heb unrhyw lwybr cymhwysiad defnyddiadwy o hyd, ac mae'r methiant hwnnw'n edrych yn unfath o ochr y cleient. Mae'r daith gerdded yn gorffen pan allwch ddweud pa gyfeiriad sy'n methu a pha haen sy'n gyfrifol amdano.