Kaksois-NAT ja VPN: asiakas toimii, palvelin ei

Reitittimesi on toisen reitittimen takana, WAN-osoite on yksityinen ja VPN-asiakas yhdistää silti. Tämä yhdistelmä yllättää ne, jotka odottavat kaksois-NATin rikkovan tunnelit, mutta juuri lähtevät yhteydet käännös hoitaa parhaiten. VPN-palvelimen ylläpitäminen samojen kahden kerroksen takana on tapaus, joka yleensä epäonnistuu. Piirrä yhteyden suunta ennen kuin muutat mitään.

Piirrä ensin yhteyden suunta

Avaa sisemmän reitittimen tilasivu ja kirjoita sen WAN-osoite muistiin ja vertaa sitä sitten osoitteeseen, jonka julkinen palvelu ilmoittaa sinulle. Jos ne eroavat, reitittimesi ja internetin välissä on vähintään yksi kääntäjä. Jos WAN-osoite on alueella 100.64.0.0/10, ulompi kääntäjä on todennäköisesti operaattorisi, etkä sinä hallitse sitä. Nämä kaksi seikkaa ratkaisevat, mikä myöhemmistä vaiheista voi ylipäätään toimia.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Kaksois-NAT ei ole kaksois-VPN. Käännös kirjoittaa osoitteet ja portit uudelleen; se ei lisää toista salattua tunnelia eikä salaa mitään. Kahden idean erillään pitäminen on tärkeää, koska ratkaisut ovat täysin erilaisia ja yksi niistä vaatii keskustelun operaattorisi kanssa asetussivun sijaan.

Lähtevä suunta: asiakas kysyy, kääntäjät kartoittavat

Lähtevä tunneli alkaa koneeltasi lähtevästä paketista, joten jokainen kääntäjä voi luoda kartoituksen ja päästää vastauksen takaisin sisään. Protokolla, portti ja joutoaikojen ajastimet ratkaisevat, säilyykö kartoitus riittävän kauan ollakseen hyödyllinen. Useimmat kuluttajareitittimet hoitavat tämän ilman mitään määritystä.

Virheet, joita todella ilmenee, koskevat yleensä aikakatkaisuja ja protokollatukea eivätkä reitittimien määrää. Tunneli, joka putoaa muutaman minuutin hiljaisuuden jälkeen, on vanheneva kartoitus, ja keepalive on tavallinen vastaus. IPsecillä on standardit NAT-traversal-laajennukset, joten väite, ettei se voi ylittää käännöstä, on yksinkertaisesti väärä. Jos tunnelia ei synny lainkaan, katso päätepistettä ja tunnistetietoja ennen kuin syytät topologiaa.

wg show
ping -c3 10.8.0.1

Pysähdy, jos lähtevä tunneli toimii yhdestä verkosta eikä toisesta. Vertailu koskee verkkoja, ei reitittimien määrää.

Saapuva suunta: edelleenohjaus kattaa vain omistamasi laitteet

Palvelimen ylläpitäminen on vastakkainen suunta: uusi yhteys saapuu internetistä ja sen on päästävä koneellesi jokaisen kerroksen läpi. Sisemmän reitittimen portinedelleenohjaussääntö auttaa vain, jos ulompi kääntäjä toimittaa liikenteen myös sinulle. Paikallisen säännön toistaminen ei anna hallintaa operaattorin laitteisiin.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Vertaa sisemmän reitittimen WAN-osoitetta havaitsemaasi julkiseen osoitteeseen ja kirjaa, mistä kukin arvo tuli. Jos WAN-osoite on yksityinen tai jaetulla alueella, ulompi kerros tekee käännöksen, jota et voi määrittää. Kysy operaattorilta, mitä saapuvaa tavoitettavuutta se tukee, ennen kuin vietät illan säännöillä, jotka eivät voi tulla voimaan. Reitittimen poistaminen tai palomuurin laaja-alainen sammuttaminen ei ole diagnoosi, ja se on huono kauppa yhdestä avoimesta portista.

Pysähdy, jos ulompi kerros on operaattorin eikä se ohjaa edelleen. Silloin tuetut vastaukset ovat toinen käyttötapa tai rele, ei vielä yksi sääntö sinun puolellasi.

Testaa yhtä muuttujaa kerrallaan

Muuta yhtä asiaa testiä kohden ja kirjaa tulos, koska kaksois-NAT-polulla on enemmän muuttujia kuin yhden reitittimen polulla. Pidä profiili ja laite muuttumattomina ja vertaa sitten toiseen käyttöverkkoon. Huomaa, epäonnistuuko neuvottelu, putoaako istunto joutoajan jälkeen vai epäonnistuvatko vain yksityiset kohteet. Nämä kolme havaintoa osoittavat kolmeen eri kerrokseen.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Päällekkäiset yksityiset aliverkot ovat erillinen ansa, jota mikään käännösmäärä ei korjaa. Jos kotiverkkosi ja etäverkko käyttävät samaa aluetta, reittiristiriita ilmaantuu riippumatta siitä, kuinka monta kääntäjää niiden välissä on. Toisen puolen uudelleennumerointi on ainoa kestävä vastaus.

Etäyhdyskäytävä ansaitsee saman huomion, koska sen edelleenohjaussäännöt ja paluureitit voivat olla puuttuva palanen. Tunneli, joka todennetaan, voi silti olla ilman käyttökelpoista sovelluspolkua, ja tämä vika näyttää asiakkaan puolelta samalta. Kierto päättyy, kun voit sanoa, kumpi suunta epäonnistuu ja mikä kerros siitä vastaa.