Kodune VPN-server ei ole kättesaadav: käi NAT-ahel läbi

Server vastab LAN-is, pordi edasisaatmise reegel näib õige ja ometi ei saa väline klient ühendust. Ühe piiri kaupa väljapoole liikumine on kiirem kui reegli neljas muutmine, sest iga piir jätab oma tõendi: ruuteri WAN-leht, teenusepakkuja tõlge ja kuulaja hostis. Alusta halduslehelt, mis on sul juba avatud, ja lõpeta testiga võrgust, mida sa ei kontrolli. Kirjuta iga tulemus kohe üles, sest järjekord on diagnoos ja meelde jäänud number ei ole tõend. Kui vajad ainult väljuvat tunnelit, ei ole tõlge sinu probleem: blokeeritakse ainult soovimata sissetulev liiklus.

Alusta ruuteri WAN-lehelt

Logi ruuterisse sisse ja loe olekulehte, mitte portide edasisaatmise loendit. Märgi üles WAN-aadress, liides, kuhu see kuulub, ja kas ühenduse tüüp on DHCP, PPPoE või midagi, mida teenusepakkuja pakub. Seejärel võrdle seda aadressi sellega, mida teatab väline teenus, kasutades mobiilse andmesidega telefoni, et vaatlus ei läheks sama ruuteri kaudu tagasi. Need kaks numbrit vastavad erinevatele küsimustele ja nende võrdlemine ongi selle sammu mõte.

WAN-aadress, mis erineb vaadeldud avalikust aadressist, tähendab, et ruuteri kohal on vähemalt üks tõlkija. See ei ole veel viga, sest paljud pakkujad tõlgivad projekti järgi ja teenus töötab endiselt. Kui need kaks langevad kokku, kuulub aadress tõenäoliselt ruuterile ja probleem on liikunud sinu võrgu sisse. Igal juhul kirjuta paar koos kuupäevaga üles, sest pakkujad määravad aadresse ümber ja võrdlus eelmise kuu märkmetega on väärtusetu.

Liigu üks hüpe ülespoole

Käivita traceroute ruuterist endast ja loe paar esimest hüpet. Korduvad avalikud aadressid, esimene hüpe, mis vastab privaatse aadressiga, või aadress jagatud vahemikus 100.64.0.0/10 osutavad kõik ülalpool olevale tõlkijale. RFC 6598 määratleb selle vahemiku just selliseks juurutuseks ja seetõttu on selle nägemine WAN-väljal tugev signaal, mitte uudishimu. Kaks tõlkijat teel muudavad jälje vähem ilmseks, seega loe mustrit, mitte üksikut rida.

Mõned pakkujad näitavad määratud aadressi ainult kliendiportaalis, seega vaata sinna, enne kui järeldad, et ruuter valetab. Portaali aadress, mis langeb kokku sinu välise vaatlusega, samal ajal kui ruuter teatab midagi muud, on kõige selgem tõend ülalpool olevast tõlkijast. Salvesta mõlemad lehed muudatuste logisse, sest vaidlus selle üle, kellele milline piir kuulub, edeneb kahe dateeritud pildiga palju kiiremini.

Kinnita kuulaja ja edasisaatmine

LAN-i test tõestab, et teenus töötab kohapeal, ja ei tõesta midagi väljastpoolt kättesaadavuse kohta. Paljud ruuterid vastavad oma edasisaatmise reeglile seestpoolt, nii et juuksenõela test õnnestub, samal ajal kui väline tee on veel suletud. Kinnita, et deemon on seotud aadressi ja pordiga, mida sa arvad, ning seejärel testi väljastpoolt. Kõik alljärgnev on ainult lugemiseks.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Kui väline test näitab, et ruuterini ei jõua ükski pakett, toimus langemine ülalpool ja ükski kohalik reegel seda ei paranda. Kui paketid jõuavad ja miski ei vasta, on järgmine piir kuulaja või hosti tulemüür. Paketi püüdmine hostis otsustab, kumba kahest sa vaatad, ja see võtab vähem aega kui veel üks voor reeglite oletamist. Hoia kuulaja ja selle transport muutumatuna, kuni võrdled, muidu vastab järgmine test teisele küsimusele.

Muuda topoloogiat, mitte sama reeglit

Kui tõlkija kuulub teenusepakkujale, on parandus teine tee, mitte veel üks edasisaatmine. Väike VPS avaliku aadressiga, mis on kodupoolelt ühendatud väljuva tunneliga, asetab teenuse ette kättesaadava lõpp-punkti. Pakkuja antud avalik aadress on lihtsam seal, kus see olemas on, ja tavaliselt odavam kui masina käitamine. IPv6 eemaldab tõlke täielikult, eeldusel et kliendi võrk, DNS-kirjed ja tulemüüri poliitika kõik seda toetavad.

Dünaamiline DNS uuendab ainult nime; see ei loo kättesaadavust, ja jagatud aadressile osutamine saadab kliendid pakkuja lüüsile, mida kasutavad ka teised tellijad. See rike näeb välja täpselt nagu surnud server, seepärast on varasemate sammude üleskirjutus oluline. Märgi üles, milliseks aadressiks nimi lahenes, kui test ebaõnnestus, ja hoia vastus testitulemuse juures.

Kirjuta plaan ümber selle piiri ümber, mida kontrollid: kuulaja, tunnel ja marsruudid. Hoia vana edasisaatmine alles ainult seni, kuni see kirjeldab veel midagi tõest, sest reegel, mis topoloogiaga enam ei klapi, on hullem kui reegli puudumine. Pane kirja, milline kiht tegelikult blokeeris ja milline tõend seda näitas. Muidu kordab järgmine inimene, kes halduslehe avab, kogu selle käigu iga sammu algusest peale.