Pam nad yw gweinydd VPN y tu ôl i CGNAT byth yn derbyn cysylltiadau

Mae'r llwybrydd yn adrodd cyfeiriad WAN sy'n dechrau gyda 100.72, mae'r enw DNS deinamig yn datrys i gyfeiriad cyhoeddus gwahanol, ac nid yw'r gweinydd VPN ar y llwybrydd hwnnw byth yn cwblhau ysgydwadllaw o'r tu allan. Mae anfon pyrth ymlaen wedi'i ffurfweddu, mae'r gwasanaeth yn rhedeg, ac mae prawf o'r LAN yn dal i weithio. Nid oes dim yng nghofnod y llwybrydd yn edrych fel gwall. Mae'r cyfuniad hwnnw'n NAT gradd cludwr, ac ni all unrhyw reol tânfur agor porth ar gyfeiriad y mae'r ISP yn ei ddal.

Mae cadarnhau'r cyfeiriad a rennir yn cymryd dwy funud ac yn atal wythnos o newidiadau ffurfweddu.

Yr arwyddion sy'n pwyntio at NAT y cludwr

Cymharwch y cyfeiriad WAN ar dudalen statws y llwybrydd â'r cyfeiriad y mae chwiliad allanol yn ei adrodd. Mae cyfeiriad WAN o fewn 100.64.0.0/10 yn arwydd arferol, ac mae'r ystodau preifat 10/8, 172.16/12 a 192.168/16 yn golygu'r un peth. Os yw traceroute yn dangos yr un naid gyhoeddus dro ar ôl tro, neu os yw naid gynnar yn ateb â chyfeiriad preifat, mae cyfieithydd arall rhwng y llwybrydd a'r rhyngrwyd. Mae rhai ISP yn rhestru'r cyfeiriad a bennwyd yn y porth cwsmeriaid yn unig, felly allforiwch y gwerth hwnnw ochr yn ochr â'r traceroute.

Nid yw newid protocolau na phyrth yn helpu, oherwydd y broblem yw cyrhaeddiad sy'n dod i mewn, nid porth sydd wedi cau.

Pam na all anfon ymlaen a DNS deinamig ei drwsio

Mae rheol anfon porth ymlaen yn mapio porth ar rwydwedd WAN y llwybrydd, ond nid yw traffig sy'n dod i mewn byth yn cyrraedd y rhwydwedd honno: mae'r ISP yn ei chyfieithu'n gyntaf ac yn anfon ymlaen yn unig yr hyn y mae ei dabl ei hun yn ei ganiatáu. Mae cyhoeddi'r cyfeiriad a rennir yn DNS deinamig yn anelu cleientiaid at borth ISP a ddefnyddir gan lawer o danysgrifwyr, a dyna pam mae'r enw'n datrys ac mae'r ysgydwadllaw'n dal i fethu. Mae profion hairpin yn llwyddo oherwydd bod y llwybrydd yn ateb ei reol ei hun o'r tu mewn, ac mae gan UPnP yr un man dall yn union.

Ni fydd ailffurfweddu'r cleient yn helpu chwaith, gan fod y methiant yn digwydd cyn i unrhyw osodiad cleient gael ei ddarllen.

Atal trwy VPS â llwybrau penodol

Rhowch gyfeiriad cyhoeddus o'ch blaen drwy rentu'r VPS lleiaf sy'n gallu cludo'r traffig, yna gwnewch i lwybrydd y cartref ddeialu allan ato. Mae UDP allan o'r rhwydwaith cartref yn pasio NAT y cludwr, felly mae'r tiwnel yn sefydlu o'r tu mewn ac mae'r VPS yn dod yn bwynt terfyn cyrhaeddadwy. Mae ochr y cartref yn dod yn gleient â chyfeiriad tiwnel sefydlog, nid yn weinydd.

Ar y VPS, ychwanegwch gofnod cyfeiriadur sy'n benodol i'r cleient fel bod y gweinydd yn gwybod pa bartner sy'n berchen ar is-rwydwaith y cartref, ac ychwanegwch lwybr cnewyllyn cyfatebol.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

Mae'r llinell iroute yn dweud wrth OpenVPN pa gleient sy'n derbyn traffig ar gyfer is-rwydwaith y cartref; mae'r llinell route yn rhoi'r is-rwydwaith hwnnw yn nhabl cnewyllyn y VPS fel bod pecynnau'n mynd i mewn i'r tiwnel o gwbl. Ar gyfer gwasanaeth cyhoeddedig, ychwanegwch reol NAT cyrchfan sy'n anfon y porth cyhoeddus ymlaen i 10.8.0.10 a galluogwch net.ipv4.ip_forward.

Profwch y llwybr o'r tu allan

Gwiriwch bob naid ar yr ochr gyhoeddus, oherwydd nid yw tiwnel llwyddiannus yn profi bod y gwasanaeth yn cyrraeddadwy. Mae cyflwr gwrando a chofnodi pecynnau ar y VPS yn gwahanu 'ni chyrhaeddodd dim' oddi wrth 'cyrhaeddodd a chafodd ei ollwng'.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Os yw'r cofnodi'n dangos pecynnau o'r ffôn ond dim ateb, y ffurfwedd gweinydd neu'r tânfur yw'r stop nesaf. Os nad yw'r cofnodi'n dangos dim, mae'r cleient yn dal i ddatrys neu'n anfon i'r cyfeiriad anghywir.

Dewisiadau sy'n werth eu prisio yn gyntaf

Cyfeiriad IPv4 neilltuedig gan yr ISP yw'r atiff cyflymaf ac fel arfer mae'n ffi fisol fechan. Mae IPv6 brodorol yn dileu cyfieithu ar y ddau ben pan fydd y VPN, rhwydwaith y cleient a'r cofnodion DNS i gyd yn ei gario. Mae troshaen mesh â llwybrydd is-rwydwaith y tu mewn i'r rhwydwaith cartref yn cyflawni'r un ataliad heb VPS, ar gost dibynnu ar wasanaeth cydlynu.

Dewiswch yr ataliad pan fo'r gofyniad yn fynediad sefydlog sy'n dod i mewn ac mae pob rheol i aros o dan eich rheolaeth. Dewiswch gyfeiriad yr ISP pan fo'r gyllideb yn caniatáu a'r nod yn syml yw stopio meddwl amdano.