Zergatik ez dituen CGNATaren atzean dagoen VPN zerbitzariak inoiz konexiorik onartzen

Routerrak 100.72z hasten den WAN helbidea ematen du, DNS izen dinamikoa beste helbide publiko batera ebazten da, eta router horretako VPN zerbitzariak ez du inoiz kanpotik eskutadarik osatzen. Portu-birbidalketa konfiguratuta dago, zerbitzua martxan dago, eta LANetik egindako probak oraindik funtzionatzen du. Routerraren erregistroan ez dirudi errore antzekorik dagoenik. Konbinazio hori operadore mailako NATa da, eta suebaki-arau batek ere ezin du ISPak duen helbide batean porturik ireki.

Helbide partekatua egiaztatzeak bi minutu hartzen ditu eta aste bateko konfigurazio aldaketak saihesten ditu.

Operadorearen NATa seinalatzen duten zantzuak

Konparatu routerraren egoera-orrian agertzen den WAN helbidea kanpoko kontsulta batek ematen duen helbidearekin. 100.64.0.0/10 barrutian dagoen WAN helbidea ohiko zantzua da, eta 10/8, 172.16/12 eta 192.168/16 barruti pribatuek gauza bera esan nahi dute. Traceroute-k jauzi publiko bera errepikatuta erakusten badu, edo hasierako jauzi batek helbide pribatu batekin erantzuten badu, itzultzaile bat gehiago dago routerraren eta interneten artean. ISP batzuek esleitutako helbidea bezeroen atarian baino ez dute zerrendatzen, beraz esportatu balio hori traceroute-arekin batera.

Protokoloak edo portuak aldatzeak ez du laguntzen, arazoa sarrerako irisgarritasuna delako, ez portu itxia.

Zergatik ezin duten birbidalketak eta DNS dinamikoak konpondu

Portu-birbidalketa arau batek routerraren WAN interfazeko portu bat mapatzen du, baina sarrerako trafikoak ez du inoiz interfaze horretara iristen: ISPak lehenengo itzultzen du eta bere taulak onartzen duena baino ez du birbidaltzen. Helbide partekatua DNS dinamikoan argitaratzeak bezeroak harpidedun askok erabiltzen duten ISP atari batera bideratzen ditu, horregatik ebazten da izena eta oraindik huts egiten du eskutadak. Hairpin probek arrakasta dute routerrak bere arauari barrutik erantzuten diolako, eta UPnP-k itsuune bera du.

Bezeroa birkonfiguratzeak ere ez du lagunduko, huts egitea bezeroaren edozein ezarpen irakurri aurretik gertatzen delako.

Bideratu VPS baten bidez ibilbide esplizituekin

Jarri helbide publiko bat aurrean trafikoa eraman dezakeen VPS txikiena alokatuz, eta gero egin etxeko routerrak hara deitu dezan. Etxeko sareko UDP irteerak operadorearen NATa gainditzen du, beraz tunela barrutik ezartzen da eta VPSa helburu irisgarria bihurtzen da. Etxeko aldea tunel helbide finkoa duen bezero bihurtzen da, ez zerbitzari.

VPSan, gehitu bezeroari dagokion direktorio-sarrera bat zerbitzariak jakin dezan zein parekoa den etxeko azpisarearen jabea, eta gehitu dagokion kernel ibilbidea.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

iroute lerroak OpenVPN ri esaten dio zein bezerok jasotzen duen etxeko azpisarearen trafikoa; route lerroak azpisare hori VPSaren kernel taulan jartzen du paketeak tunelera sartzeko. Argitaratutako zerbitzu baterako, gehitu helburuko NAT arau bat portu publikoa 10.8.0.10ra birbidaltzen duena, eta gaitu net.ipv4.ip_forward.

Probatu bidea kanpotik

Egiaztatu jauzi bakoitza alde publikoan, tunel arrakastatsuak ez baitu frogatzen zerbitzua irisgarria denik. VPSan entzute-egoerak eta pakete-kapturak 'ezer ez da iritsi' eta 'iritsi eta baztertu egin da' bereizten dituzte.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Kapturak telefonotik paketeak erakusten baditu baina erantzunik ez, hurrengo geldialdia zerbitzariaren konfigurazioa edo suebakia dira. Kapturak ezer erakusten ez badu, bezeroa oraindik ebazten ari da edo helbide okerra bidaltzen ari da.

Lehenik prezioa aztertzea merezi duten alternatibak

ISParen IPv4 helbide dedikatu bat irtenbiderik laburrena da eta normalean hileko kuota txiki bat da. IPv6 natiboak bi muturretako itzulpena kentzen du VPNak, bezeroaren sareak eta DNS erregistroek batera daramatenean. Etxeko sarearen barruan azpisare-routerra duen mesh estaldura batek birbidalketa bera lortzen du VPSrik gabe, koordinazio-zerbitzu baten mendekotasunaren truke.

Aukeratu birbidalketa beharrizana sarrerako sarbide egonkorra denean eta arau bakoitza zure kontrolpean egon behar denean. Aukeratu ISParen helbidea aurrekontuak ahalbidetzen duenean eta helburua horretaz ez pentsatzea besterik ez denean.