Οικιακός διακομιστής VPN μη προσβάσιμος: διαβείτε την αλυσίδα NAT

Ο διακομιστής απαντά στο LAN, ο κανόνας προώθησης θύρας φαίνεται σωστός και όμως ένας εξωτερικός πελάτης δεν μπορεί να συνδεθεί. Το πέρασμα ενός συνόρου κάθε φορά προς τα έξω είναι ταχύτερο από την τέταρτη επεξεργασία του κανόνα, γιατί κάθε σύνορο αφήνει τη δική του απόδειξη: η σελίδα WAN του δρομολογητή, η μετάφραση του παρόχου και ο ακροατής στον κεντρικό υπολογιστή. Ξεκινήστε από τη σελίδα διαχείρισης που έχετε ήδη ανοιχτή και τελειώστε με μια δοκιμή από δίκτυο που δεν ελέγχετε. Καταγράψτε κάθε αποτέλεσμα καθώς προχωράτε, γιατί η σειρά είναι η διάγνωση και ένας αριθμός που θυμάστε δεν είναι απόδειξη. Αν χρειάζεστε μόνο ένα εξερχόμενο τούνελ, η μετάφραση δεν είναι το πρόβλημά σας: μπλοκάρεται μόνο η ανεπιθύμητη εισερχόμενη κίνηση.

Ξεκινήστε από τη σελίδα WAN του δρομολογητή

Συνδεθείτε στον δρομολογητή και διαβάστε τη σελίδα κατάστασης αντί για τη λίστα προώθησης θυρών. Σημειώστε τη διεύθυνση WAN, τη διασύνδεση στην οποία ανήκει και αν ο τύπος σύνδεσης είναι DHCP, PPPoE ή κάτι που παρέχει ο πάροχος. Έπειτα συγκρίνετε αυτή τη διεύθυνση με ό,τι αναφέρει μια εξωτερική υπηρεσία, χρησιμοποιώντας τηλέφωνο με δεδομένα κινητής, ώστε η παρατήρηση να μη γυρίσει πίσω από τον ίδιο δρομολογητή. Οι δύο αριθμοί απαντούν σε διαφορετικά ερωτήματα και η σύγκρισή τους είναι όλο το νόημα αυτού του βήματος.

Μια διεύθυνση WAN που διαφέρει από την παρατηρούμενη δημόσια διεύθυνση σημαίνει ότι τουλάχιστον ένας μεταφραστής βρίσκεται πάνω από τον δρομολογητή. Αυτό δεν είναι ακόμη βλάβη, γιατί πολλοί πάροχοι μεταφράζουν εκ σχεδιασμού και η υπηρεσία εξακολουθεί να λειτουργεί. Αν οι δύο συμπίπτουν, ο δρομολογητής μάλλον κατέχει τη διεύθυνση και το πρόβλημα μετακινήθηκε μέσα στο δίκτυό σας. Σε κάθε περίπτωση καταγράψτε το ζεύγος με την ημερομηνία, γιατί οι πάροχοι αναθέτουν ξανά διευθύνσεις και η σύγκριση με τις σημειώσεις του προηγούμενου μήνα είναι άχρηστη.

Ανεβείτε ένα άλμα προς τα πάνω

Εκτελέστε traceroute από τον ίδιο τον δρομολογητή και διαβάστε τα πρώτα άλματα. Επαναλαμβανόμενες δημόσιες διευθύνσεις, ένα πρώτο άλμα που απαντά με ιδιωτική διεύθυνση ή μια διεύθυνση εντός του κοινόχρηστου εύρους 100.64.0.0/10 δείχνουν όλα μεταφραστή πιο πάνω. RFC 6598 ορίζει αυτό το εύρος ακριβώς για τέτοιες αναπτύξεις, γι' αυτό η εμφάνισή του στο πεδίο WAN είναι ισχυρό σήμα και όχι περιέργεια. Δύο μεταφραστές στη διαδρομή κάνουν το ίχνος λιγότερο προφανές, οπότε διαβάστε το μοτίβο και όχι μία γραμμή.

Ορισμένοι πάροχοι εμφανίζουν τη διεύθυνση που εκχωρήθηκε μόνο στην πύλη πελατών, οπότε κοιτάξτε εκεί πριν συμπεράνετε ότι ο δρομολογητής λέει ψέματα. Μια διεύθυνση πύλης που συμφωνεί με την εξωτερική σας παρατήρηση ενώ ο δρομολογητής αναφέρει κάτι άλλο είναι η σαφέστερη απόδειξη μεταφραστή πιο πάνω. Καταγράψτε και τις δύο σελίδες στο αρχείο αλλαγών, γιατί η συζήτηση για το ποιος κατέχει ποιο σύνορο προχωρά πολύ ταχύτερα με δύο εικόνες με ημερομηνία.

Επιβεβαιώστε τον ακροατή και την προώθηση

Μια δοκιμή στο LAN αποδεικνύει ότι η υπηρεσία λειτουργεί τοπικά και δεν αποδεικνύει τίποτα για την προσβασιμότητα από έξω. Πολλοί δρομολογητές απαντούν στον δικό τους κανόνα προώθησης από μέσα, οπότε μια δοκιμή βρόχου πετυχαίνει ενώ η εξωτερική διαδρομή είναι ακόμη κλειστή. Επιβεβαιώστε ότι ο δαίμονας είναι δεσμευμένος στη διεύθυνση και τη θύρα που υποθέτετε και έπειτα δοκιμάστε από έξω. Όλα τα παρακάτω είναι μόνο για ανάγνωση.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Αν η εξωτερική δοκιμή δείξει ότι δεν φτάνει κανένα πακέτο στον δρομολογητή, η απόρριψη συνέβη πιο πάνω και κανένας τοπικός κανόνας δεν θα το διορθώσει. Αν τα πακέτα φτάνουν και τίποτα δεν απαντά, το επόμενο σύνορο είναι ο ακροατής ή το τείχος προστασίας του κεντρικού υπολογιστή. Μια σύλληψη πακέτων στον κεντρικό υπολογιστή ξεκαθαρίζει ποιο από τα δύο κοιτάτε και παίρνει λιγότερο χρόνο από άλλον έναν γύρο μαντεψιάς κανόνων. Κρατήστε τον ακροατή και τη μεταφορά του αμετάβλητα όσο συγκρίνετε, αλλιώς η επόμενη δοκιμή απαντά σε άλλο ερώτημα.

Αλλάξτε την τοπολογία, όχι τον ίδιο κανόνα

Όταν ο μεταφραστής ανήκει στον πάροχο, η διόρθωση είναι άλλη διαδρομή και όχι άλλη προώθηση. Ένα μικρό VPS με δημόσια διεύθυνση, συνδεδεμένο με εξερχόμενο τούνελ από την πλευρά του σπιτιού, βάζει ένα προσβάσιμο άκρο μπροστά από την υπηρεσία. Μια δημόσια διεύθυνση από τον πάροχο είναι απλούστερη όπου υπάρχει και συνήθως φθηνότερη από τη λειτουργία μηχανήματος. Το IPv6 αφαιρεί εντελώς τη μετάφραση, με την προϋπόθεση ότι το δίκτυο του πελάτη, οι εγγραφές DNS και η πολιτική του τείχους προστασίας το υποστηρίζουν όλα.

Δυναμικό DNS ενημερώνει μόνο ένα όνομα· δεν δημιουργεί προσβασιμότητα, και η στόχευσή του σε κοινόχρηστη διεύθυνση στέλνει τους πελάτες σε πύλη παρόχου που χρησιμοποιούν και άλλοι συνδρομητές. Αυτή η αποτυχία μοιάζει ακριβώς με νεκρό διακομιστή, γι' αυτό έχει σημασία το αρχείο από τα προηγούμενα βήματα. Σημειώστε σε ποια διεύθυνση επιλύθηκε το όνομα όταν απέτυχε η δοκιμή και κρατήστε την απάντηση μαζί με το αποτέλεσμα της δοκιμής.

Ξαναγράψτε το σχέδιο γύρω από το σύνορο που ελέγχετε: τον ακροατή, το τούνελ και τις διαδρομές. Κρατήστε την παλιά προώθηση μόνο όσο περιγράφει ακόμη κάτι αληθινό, γιατί ένας κανόνας που δεν ταιριάζει πια με την τοπολογία είναι χειρότερος από την απουσία κανόνα. Καταγράψτε ποιο στρώμα μπλόκαρε πραγματικά και ποια απόδειξη το έδειξε. Αλλιώς ο επόμενος που θα ανοίξει τη σελίδα διαχείρισης θα επαναλάβει κάθε βήμα αυτής της πορείας από την αρχή.