Hejma VPN-servilo neatingebla: trairu la NAT-ĉenon

La servilo respondas en la loka reto, la regulo pri plusendo de pordo aspektas ĝusta, kaj tamen ekstera kliento ne povas konektiĝi. Trapasi unu limon samtempe eksteren estas pli rapide ol redakti la regulon kvaran fojon, ĉar ĉiu limo lasas sian propran pruvon: la WAN-paĝo de la kursigilo, la tradukado de la provizanto kaj la aŭskultanto sur la gastiganto. Komencu ĉe la administra paĝo, kiun vi jam havas malfermita, kaj finu per testo el reto, kiun vi ne kontrolas. Notu ĉiun rezulton dum vi iras, ĉar la sinsekvo estas la diagnozo kaj memorita nombro ne estas pruvo. Se vi bezonas nur elirantan tunelon, tradukado ne estas via problemo: nur nesolicitita eniranta trafiko estas blokata.

Komencu ĉe la WAN-paĝo de la kursigilo

Ensalutu al la kursigilo kaj legu la statan paĝon anstataŭ la liston de pordaj plusendoj. Notu la WAN-adreson, la interfacon al kiu ĝi apartenas kaj ĉu la konektotipo estas DHCP, PPPoE aŭ io provizata de la provizanto. Poste komparu tiun adreson kun tio, kion raportas ekstera servo, uzante telefonon per poŝdata reto, por ke la observado ne reiru tra la sama kursigilo. La du nombroj respondas malsamajn demandojn, kaj ilin kompari estas la tuta celo de ĉi tiu paŝo.

WAN-adreso malsama ol la observata publika adreso signifas, ke almenaŭ unu tradukilo staras super la kursigilo. Tio ankoraŭ ne estas difekto, ĉar multaj provizantoj tradukas laŭ la dezajno kaj la servo ankoraŭ funkcias. Se la du kongruas, la kursigilo probable posedas la adreson kaj la problemo translokiĝis ene de via reto. Ĉiukaze notu la paron kun la dato, ĉar provizantoj reasignas adresojn kaj komparo kun la notoj de la pasinta monato estas senutila.

Iru unu salteton supren

Rulu traceroute el la kursigilo mem kaj legu la unuajn saltetojn. Ripetitaj publikaj adresoj, unua salteto kiu respondas per privata adreso aŭ adreso ene de la komuna gamo 100.64.0.0/10 ĉiuj montras al tradukilo pli supre. RFC 6598 difinas tiun gamon ĝuste por tia deplojo, kaj tial vidi ĝin en la WAN-kampo estas forta signo, ne scivolemo. Du tradukiloj en la vojo faras la spuron malpli evidenta, do legu la ŝablonon, ne unu linion.

Iuj provizantoj montras la asignitan adreson nur en la klienta portalo, do rigardu tien antaŭ ol konkludi, ke la kursigilo mensogas. Portala adreso kongrua kun via ekstera observado dum la kursigilo raportas ion alian estas la plej klara pruvo de tradukilo pli supre. Konservu ambaŭ paĝojn en la ŝanĝprotokolo, ĉar la diskuto pri tio, kiu posedas kiun limon, iras multe pli rapide kun du datitaj bildoj.

Konfirmu la aŭskultanton kaj la plusendon

Testo en la loka reto pruvas, ke la servo funkcias loke, kaj pruvas nenion pri atingeblo de ekstere. Multaj kursigiloj respondas sian propran plusendan regulon de interne, do testa buklo sukcesas dum la ekstera vojo ankoraŭ estas fermita. Konfirmu, ke la demono estas ligita al la adreso kaj pordo, kiujn vi supozas, kaj poste testu de ekstere. Ĉio sube estas nur por legado.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Se la ekstera testo montras, ke neniu paketo alvenas al la kursigilo, la forĵeto okazis pli supre kaj neniu loka regulo riparos ĝin. Se paketoj alvenas kaj nenio respondas, la sekva limo estas la aŭskultanto aŭ la fajroŝirmilo de la gastiganto. Paketa kapto sur la gastiganto decidas, kiun el la du vi rigardas, kaj ĝi bezonas malpli da tempo ol plia rondo da divenado de reguloj. Tenu la aŭskultanton kaj ĝian transporton senŝanĝaj dum vi komparas, alie la sekva testo respondos alian demandon.

Ŝanĝu la topologion, ne la saman regulon

Kiam la tradukilo apartenas al la provizanto, la solvo estas alia vojo, ne plia plusendo. Malgranda VPS kun publika adreso, ligita per eliranta tunelo de la hejma flanko, metas atingeblan finan punkton antaŭ la servo. Provizanto-donita publika adreso estas pli simpla tie, kie ĝi ekzistas, kaj kutime pli malmultekosta ol funkciigi maŝinon. IPv6 forigas la tradukadon tute, kondiĉe ke la klienta reto, la DNS-rikordoj kaj la fajroŝirmila politiko ĉiuj subtenas ĝin.

Dinamika DNS ĝisdatigas nur nomon; ĝi ne kreas atingeblon, kaj direkti ĝin al komuna adreso sendas klientojn al provizanta enirejo, kiun uzas ankaŭ aliaj abonantoj. Tiu fiasko aspektas ĝuste kiel morta servilo, kaj tial gravas la noto el la pli fruaj paŝoj. Notu, al kiu adreso la nomo solviĝis kiam la testo malsukcesis, kaj konservu la respondon kun la testa rezulto.

Reskribu la planon ĉirkaŭ la limo, kiun vi kontrolas: la aŭskultanto, la tunelo kaj la itineroj. Tenu la malnovan plusendon nur dum ĝi ankoraŭ priskribas ion veran, ĉar regulo, kiu ne plu kongruas kun la topologio, estas pli malbona ol neniu regulo. Notu, kiu tavolo fakte blokis kaj kiu pruvo tion montris. Alie la sekva persono, kiu malfermos la administran paĝon, ripetos ĉiun paŝon de ĉi tiu irado de la komenco.