NAT bikoitza eta zure VPNa: bezeroak funtzionatzen du, zerbitzariak ez

Zure bideratzailea beste bideratzaile baten atzean dago, WAN helbidea pribatua da, eta VPN bezeroa hala ere konektatzen da. Konbinazio horrek harritzen ditu NAT bikoitzak tunelak hautsiko dituela espero dutenak, baina irteerako konexioak dira itzulpenak ondoen kudeatzen dituenak. VPN zerbitzari bat bi geruza berberen atzean ostatatzea da normalean huts egiten duen kasua. Marraztu konexioaren norabidea ezer aldatu aurretik.

Marraztu lehenik konexioaren norabidea

Ireki barneko bideratzailearen egoera-orria eta idatzi haren WAN helbidea, gero alderatu zerbitzu publiko batek ematen dizun helbidearekin. Biak desberdinak badira, itzultzaile bat dago gutxienez zure bideratzailearen eta interneten artean. WAN helbidea 100.64.0.0/10 barrutian badago, kanpoko itzultzailea ziurrenik zure hornitzailearena da, eta ez duzu kontrolatzen. Bi gertaera horiek erabakitzen dute ondorengo urratsetatik zein izan daitekeen bideragarri.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

NAT bikoitza ez da VPN bikoitza. Itzulpenak helbideak eta atakak berridazten ditu; ez du bigarren tunel zifraturik gehitzen, eta ez du ezer zifratzen. Bi ideiak bereizita edukitzea garrantzitsua da, konponbideak erabat desberdinak direlako, eta horietako batek zure hornitzailearekin elkarrizketa eskatzen duelako, ez ezarpen-orri bat.

Irteera: bezeroak galdetzen du, itzultzaileek mapatzen dute

Irteerako tunel bat zure makinatik datorren pakete batekin hasten da, beraz itzultzaile bakoitzak mapaketa bat sor dezake eta erantzuna berriro sartzen utzi. Protokoloak, atakak eta inaktibitate-tenporizadoreek erabakitzen dute mapaketa horrek nahikoa irauten duen erabilgarria izateko. Kontsumo-bideratzaile gehienek hori konfiguraziorik gabe konpontzen dute.

Agertzen diren hutsegiteak normalean denbora-mugei eta protokoloen laguntzari buruzkoak izaten dira, ez bideratzaileen kopuruari buruzkoak. Minutu batzuetako isiltasunaren ondoren erortzen den tunel bat iraungitzen ari den mapaketa bat da, eta keepalive da erantzun ohikoa. IPsec-ek NAT-traversal luzapen estandarrak ditu, beraz itzulpena gaindi dezakeenik ez dioenak oker dio. Tunela batere ezartzen ez bada, begiratu amaiera-puntua eta kredentzialak topologia erruduntzat jo aurretik.

wg show
ping -c3 10.8.0.1

Gelditu irteerako tunelak sare batean funtzionatzen badu eta bestean ez. Konparazio hori sareei buruzkoa da, ez bideratzaileen kopuruari buruzkoa.

Sarrera: birbidalketak zure jabetzako ekipamendua soilik hartzen du

Zerbitzari bat ostatatzea aurkako norabidea da: konexio berri bat internetetik iristen da eta zure makinaraino heldu behar du geruza bakoitza zeharkatuz. Barneko bideratzaileko ataka-birbidalketa arauak soilik laguntzen du kanpoko itzultzaileak trafiko hori zuregana ere helarazten badu. Tokiko araua errepikatzeak ez dio hornitzailearen ekipamenduaren kontrolik ematen.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Alderatu barneko bideratzailearen WAN helbidea ikusi duzun helbide publikoarekin, eta idatzi balio bakoitzaren jatorria. WAN helbidea pribatua bada edo partekatutako barrutian badago, kanpoko geruzak ezin duzun itzulpena egiten ari da. Galdetu hornitzaileari sarrera-irisgarritasun zein onartzen duen, indarrean sartu ezin duten arauekin gau osoa eman aurretik. Bideratzaile bat kentzea edo suebaki bat modu zabalean desgaitzea ez da diagnostiko bat, eta truke txarra da ataka ireki bakarraren truke.

Gelditu kanpoko geruza hornitzailearena bada eta birbidaltzen ez badu. Orduan onartutako erantzunak beste sarbide-metodo bat edo errele bat dira, ez zure aldeko beste arau bat.

Probatu aldagai bat aldiko

Aldatu gauza bat proba bakoitzeko eta idatzi emaitza, NAT bikoitzeko bideak bideratzaile bakarrekoak baino aldagai gehiago dituelako. Eutsi profilari eta gailuari finko, gero alderatu beste sarbide-sare bat. Ohartu negoziazioak huts egiten duen, saioak inaktibitatearen ondoren erortzen duen edo helmuga pribatuek soilik huts egiten duten. Behaketa horiek hiru geruza desberdinetara bideratzen dute.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Gainjartzen diren azpisare pribatuak aparteko tranpa bat dira, itzulpen-kantitateak konpontzen ez duena. Zure etxeko sareak eta urruneko sareak barruti bera erabiltzen badute, ibilbide-gatazka agertzen da tartean zenbat itzultzaile dauden kontuan hartu gabe. Alde bat berridaztea da erantzun iraunkor bakarra.

Urruneko atebidea arreta berberaren merezkoa da, haren birbidalketa-arauak eta itzulera-ibilbideak falta den pieza izan daitezkeelako. Autentifikatzen den tunel batek oraindik ere ez du aplikazio-ibilbide erabilgarririk izango, eta hutsegite horrek berdin dirudi bezeroaren aldetik. Ibilaldia orduan amaitzen da, norabide zeinek huts egiten duen eta zein geruzak duen ardura esan dezakezunean.