Etxeko VPN zerbitzaria ez da iristengarria: zeharkatu NAT katea

Zerbitzariak LANean erantzuten du, portuaren birbidaltze araua zuzena dirudi, eta hala ere kanpoko bezero batek ezin du konektatu. Muga bat aldi bakoitzean kanporantz joatea araua laugarren aldiz editatzea baino azkarragoa da, muga bakoitzak bere froga uzten baitu: routerraren WAN orria, hornitzailearen itzulpena eta ostalariaren entzulea. Hasi jada irekita duzun administrazio orritik eta amaitu kontrolatzen ez duzun sare batetik egindako proba batekin. Idatzi emaitza bakoitza bidean, sekuentzia delako diagnostikoa eta gogoratutako zenbaki bat ez delako froga. Irteerako tunel bat soilik behar baduzu, itzulpena ez da zure arazoa: eskatutakoa ez den sarrerako trafikoa baino ez da blokeatzen.

Hasi routerraren WAN orritik

Hasi saioa routerrean eta irakurri egoera orria, ez portuen birbidaltze zerrenda. Idatzi WAN helbidea, zein interfazeri dagokion eta konexio mota DHCP, PPPoE edo hornitzaileak emandako zerbait den. Ondoren erkatu helbide hori kanpoko zerbitzu batek jakinarazten duenarekin, telefono bat datu mugikorretan erabiliz, behaketa router beretik ez itzultzeko. Bi zenbakiek galdera desberdinei erantzuten diete, eta haiek alderatzea da urrats honen helburu osoa.

Behatutako helbide publikotik desberdina den WAN helbideak esan nahi du gutxienez itzultzaile bat dagoela routerraren gainetik. Hori oraindik ez da akats bat, hornitzaile askok diseinuz itzultzen dutelako eta zerbitzuak oraindik funtzionatzen duelako. Biak bat badatoz, ziurrenik routerra da helbidearen jabea eta arazoa zure sarearen barrura mugitu da. Edozein kasutan, idatzi bikotea datarekin, hornitzaileek helbideak berriz esleitzen dituztelako eta aurreko hilabeteko oharrekin alderatzeak ez duelako balio.

Igo jauzi bat gorantz

Exekutatu traceroute routerretik bertatik eta irakurri lehen jauziak. Errepikatutako helbide publikoak, helbide pribatu batekin erantzuten duen lehen jauzia edo partekatutako 100.64.0.0/10 barrutiaren barruko helbidea goiko itzultzaile bat seinalatzen dute guztiek. RFC 6598 barruti hori hain zuzen ere hedapen mota honetarako definitzen du, eta horregatik WAN eremuan ikustea seinale sendoa da, ez bitxikeria. Bidean bi itzultzaile egoteak arrastoa gutxiago nabarmenduko du, beraz irakurri eredua eta ez lerro bakarra.

Hornitzaile batzuek esleitutako helbidea bezeroaren atarian soilik erakusten dute, beraz begiratu han routerra gezurretan ari dela ondorioztatu aurretik. Atariko helbide bat zure kanpoko behaketarekin bat etortzea routerrak beste zerbait jakinarazten duen bitartean goiko itzultzaile baten frogarik argiena da. Gorde bi orriak aldaketen erregistroan, nor den zein mugen jabea izateari buruzko eztabaida askoz azkarragoa delako data duten bi irudirekin.

Berretsi entzulea eta birbidaltzea

LANeko proba batek zerbitzua bertan funtzionatzen duela frogatzen du eta ez du ezer frogatzen kanpotik iristeari buruz. Router askok beren birbidaltze arauari barrutik erantzuten diote, beraz begizta proba bat arrakastatsua da kanpoko bidea oraindik itxita dagoen bitartean. Berretsi daemona uste duzun helbide eta portuari lotuta dagoela, eta gero probatu kanpotik. Beheko guztia irakurtzeko soilik da.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Kanpoko probak erakusten badu paketerik ez dela routerrera iristen, jausketa gorago gertatu da eta tokiko arau batek ere ez du konponduko. Paketeak iristen badira eta ezerk erantzuten ez badu, hurrengo muga entzulea edo ostalariaren suebakia da. Ostalarian pakete kaptura batek argitzen du bi horietako zein ari zaren begiratzen, eta arauak asmatzeko beste txanda bat baino denbora gutxiago behar du. Mantendu entzulea eta haren garraioa aldatu gabe alderatzen duzun bitartean, bestela hurrengo probak beste galdera bati erantzungo dio.

Aldatu topologia, ez arau bera

Itzultzailea hornitzailearena denean, konponbidea beste bide bat da eta ez beste birbidaltze bat. Helbide publikoko VPS txiki bat, etxeko aldetik irteerako tunel baten bidez lotuta, zerbitzuaren aurrean iristengarri den mutur bat jartzen du. Hornitzaileak emandako helbide publikoa errazagoa da dagoen tokian eta normalean makina bat mantentzea baino merkeagoa. IPv6k itzulpena erabat kentzen du, beti ere bezeroaren sareak, DNS erregistroek eta suebakiaren politikak guztiek onartzen badute.

DNS dinamikoa izen bat soilik eguneratzen du; ez du irisgarritasunik sortzen, eta helbide partekatu batera zuzentzeak bezeroak beste harpidedunek ere erabiltzen duten hornitzailearen atari batera bidaltzen ditu. Hutsegite horrek hildako zerbitzari baten itxura zehatza du, eta horregatik da garrantzitsua aurreko urratsetako erregistroa. Idatzi izenak zein helbidera ebatzi zuen probak huts egin zuenean, eta gorde erantzuna probaren emaitzarekin.

Berridatzi plana kontrolatzen duzun muga inguruan: entzulea, tunela eta bideak. Mantendu birbidaltze zaharra lekuan oraindik zerbait egiazkoa deskribatzen duen bitartean, topologiarekin bat egiten ez duen arau bat araurik ez baino okerragoa delako. Idatzi zein geruza ari zen benetan blokeatzen eta zein frogak erakutsi zuen. Bestela administrazio orria irekitzen duen hurrengo pertsonak ibilbide honetako urrats guztiak hasieratik errepikatuko ditu.