Gweinydd VPN cartref yn anghyraeddadwy: cerdded y gadwyn NAT

Mae'r gweinydd yn ateb ar y LAN, mae'r rheol anfon porth yn edrych yn iawn, ac eto ni all cleient allanol gysylltu. Mae cerdded un ffin ar y tro tuag allan yn gyflymach na golygu'r rheol am y pedwerydd tro, oherwydd mae pob ffin yn gadael ei thystiolaeth ei hun: tudalen WAN y llwybrydd, cyfieithiad y darparwr, a'r gwrandawr ar y gwesteiwr. Dechreuwch ar y dudalen weinyddol sydd eisoes ar agor gennych a gorffennwch gyda phrawf o rwydwaith nad ydych yn ei reoli. Ysgrifennwch bob canlyniad wrth fynd, oherwydd y dilyniant yw'r diagnosis ac nid yw rhif a gofiwyd yn dystiolaeth. Os mai dim ond twnnel allanol sydd ei angen arnoch, nid yw cyfieithu'n broblem i chi: dim ond y traffig i mewn heb ei ofyn sy'n cael ei rwystro.

Dechreuwch ar dudalen WAN y llwybrydd

Mewngofnodwch i'r llwybrydd a darllenwch y dudalen statws yn hytrach na'r rhestr anfon porth. Nodwch y cyfeiriad WAN, y rhyngwyneb y mae'n perthyn iddo, ac a yw'r math o gysylltiad yn DHCP, PPPoE neu rywbeth y mae'r darparwr yn ei ddarparu. Yna cymharwch y cyfeiriad hwnnw â'r hyn y mae gwasanaeth allanol yn ei adrodd, gan ddefnyddio ffôn ar ddata symudol fel nad yw'r arsylwi'n teithio'n ôl trwy'r un llwybrydd. Mae'r ddau rif yn ateb cwestiynau gwahanol, a'u cymharu yw holl bwynt y cam hwn.

Mae cyfeiriad WAN sy'n wahanol i'r cyfeiriad cyhoeddus a arsylwyd yn golygu bod o leiaf un cyfieithydd uwchben y llwybrydd. Nid yw hynny'n fai eto, oherwydd mae llawer o ddarparwyr yn cyfieithu yn ôl dyluniad ac mae'r gwasanaeth yn dal i weithio. Os yw'r ddau yn cyfateb, mae'n debyg mai'r llwybrydd sy'n berchen ar y cyfeiriad ac mae'r broblem wedi symud o fewn eich rhwydwaith. Naill ffordd neu'r llall, ysgrifennwch y pâr gyda'r dyddiad, oherwydd mae darparwyr yn ailddyrannu cyfeiriadau ac mae cymharu â nodiadau mis diwethaf yn ddiwerth.

Cerddwch un naid tuag i fyny

Rhedwch traceroute o'r llwybrydd ei hun a darllenwch ychydig o'r naidau cyntaf. Cyfeiriadau cyhoeddus ailadroddus, naid gyntaf sy'n ateb â chyfeiriad preifat, neu gyfeiriad o fewn yr ystod rannol 100.64.0.0/10 i gyd yn pwyntio at gyfieithydd i fyny'r llwybr. RFC 6598 sy'n diffinio'r ystod honno ar gyfer union y math hwn o ddefnydd, a dyna pam mae ei gweld yn y maes WAN yn arwydd cryf yn hytrach na chwilfrydedd. Mae dau gyfieithydd yn y llwybr yn gwneud yr olion yn llai amlwg, felly darllenwch y patrwm yn hytrach na llinell sengl.

Mae rhai darparwyr yn dangos y cyfeiriad a neilltuwyd yn y porth cwsmer yn unig, felly edrychwch yno cyn dod i'r casgliad bod y llwybrydd yn dweud celwydd. Cyfeiriad porth sy'n cyfateb i'ch arsylwi allanol tra bod y llwybrydd yn adrodd rhywbeth arall yw'r prawf cliriaf o gyfieithydd i fyny'r llwybr. Cadwch y ddwy dudalen yn y cofnod newidiadau, oherwydd mae'r ddadl ynghylch pwy sy'n berchen ar ba ffin yn mynd lawer yn gyflymach gyda dau ddelwedd â dyddiad.

Cadarnhewch y gwrandawr a'r anfon ymlaen

Mae prawf ar y LAN yn profi bod y gwasanaeth yn gweithio'n lleol ac yn profi dim am gyrhaeddedd o'r tu allan. Mae llawer o lwybryddion yn ateb eu rheol anfon eu hunain o'r tu mewn, felly mae prawf dolen yn llwyddo tra bod y llwybr allanol yn dal ar gau. Cadarnhewch fod y daemon wedi'i rwymo i'r cyfeiriad a'r porth yr ydych yn credu y mae'n eu defnyddio, yna profwch o'r tu allan. Mae popeth isod yn ddarllen yn unig.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Os yw'r prawf allanol yn dangos nad oes pecyn yn cyrraedd y llwybrydd, digwyddodd y gollwng i fyny'r llwybr ac ni fydd unrhyw reol leol yn ei thrwsio. Os yw pecynnau'n cyrraedd ac nid oes dim yn ateb, y wrandawr neu wal dân y gwesteiwr yw'r ffin nesaf. Mae cipio pecynnau ar y gwesteiwr yn setlo pa un o'r ddau yr ydych yn edrych arno, ac mae'n cymryd llai o amser na rownd arall o ddyfalu rheolau. Cadwch y gwrandawr a'i gludiant yn ddigyfnewid wrth gymharu, neu bydd y prawf nesaf yn ateb cwestiwn gwahanol.

Newidiwch y topoleg, nid yr un rheol

Pan fo'r cyfieithydd yn perthyn i'r darparwr, y ffordd wahanol yw'r atgyweiriad, nid un arall o anfoniadau. Mae VPS bach â chyfeiriad cyhoeddus, wedi'i gysylltu â thwnnel allanol o ochr y cartref, yn rhoi pen cyrhaeddadwy o flaen y gwasanaeth. Mae cyfeiriad cyhoeddus a ddarperir gan y darparwr yn symlach lle mae'n bodoli ac fel arfer yn rhatach na rhedeg peiriant. Mae IPv6 yn dileu cyfieithu'n gyfan gwbl, ar yr amod bod rhwydwaith y cleient, y cofnodion DNS a pholisi'r wal dân i gyd yn ei gefnogi.

DNS deinamig yn diweddaru enw yn unig; nid yw'n creu cyrhaeddedd, ac mae ei bwyntio at gyfeiriad rannol yn anfon cleientiaid at borth y darparwr y mae tanysgrifwyr eraill hefyd yn ei ddefnyddio. Mae'r methiant hwnnw'n edrych yn union fel gweinydd marw, a dyna pam mae'r cofnod o'r camau cynharach yn bwysig. Nodwch ba gyfeiriad y datryswyd yr enw iddo pan fethodd y prawf, a chadwch yr ateb gyda chanlyniad y prawf.

Ailysgrifennwch y cynllun o amgylch y ffin yr ydych yn ei rheoli: y gwrandawr, y twnnel a'r llwybrau. Cadwch yr hen anfon ymlaen yn ei le dim ond tra mae'n dal i ddisgrifio rhywbeth gwir, oherwydd mae rheol nad yw'n cyfateb i'r topoleg mwyach yn waeth na dim rheol. Cofnodwch pa haen oedd yn rhwystro mewn gwirionedd a pha dystiolaeth a ddangosodd hynny. Fel arall bydd y person nesaf i agor y dudalen weinyddol yn ailadrodd pob cam o'r daith hon o'r dechrau.