Miksi CGNAT:in takana oleva VPN-palvelin ei koskaan hyväksy yhteyksiä
100.64-osoite, muualla ratkeava dynaaminen DNS-nimi ja puuttuva saapuva kättely ovat yksi ongelma: operaattorin NAT. Vahvista se ja välitä sitten lähtevä liikenne edelleen.
Reititin ilmoittaa WAN-osoitteen, joka alkaa 100.72:lla, dynaaminen DNS-nimi ratkeaa toiseen julkiseen osoitteeseen, eikä kyseisen reitittimen VPN-palvelin koskaan viimeistele kättelyä ulkopuolelta. Portinohjaus on määritetty, palvelu on käynnissä ja testi lähiverkosta toimii edelleen. Reitittimen lokissa mikään ei näytä virheeltä. Tämä yhdistelmä on operaattoritason NAT, eikä mikään palomuurisääntö voi avata porttia osoitteessa, jonka operaattori pitää.
Jaetun osoitteen vahvistaminen kestää kaksi minuuttia ja estää viikon konfiguraatiomuutokset.
Merkit, jotka viittaavat operaattorin NAT:iin
Vertaa reitittimen tilasivun WAN-osoitetta osoitteeseen, jonka ulkoinen haku ilmoittaa. WAN-osoite välillä 100.64.0.0/10 on tavallinen merkki, ja yksityiset alueet 10/8, 172.16/12 ja 192.168/16 tarkoittavat samaa. Jos traceroute näyttää saman julkisen hypyn toistuvasti tai varhainen hyppy vastaa yksityisellä osoitteella, reitittimen ja internetin välissä on vielä yksi kääntäjä. Jotkut operaattorit listaavat myönnetyn osoitteen vain asiakasportaalissa, joten vie kyseinen arvo tracerouten mukana.
Protokollien tai porttien vaihtaminen ei auta, koska ongelma on saapuvassa tavoitettavuudessa eikä suljetussa portissa.
Miksi edelleenvälitys ja dynaaminen DNS eivät voi korjata sitä
Portinohjaussääntö kartoittaa portin reitittimen WAN-rajapinnalle, mutta saapuva liikenne ei koskaan saavuta sitä rajapintaa: operaattori kääntää sen ensin ja välittää vain sen, minkä sen oma taulu sallii. Jaetun osoitteen julkaiseminen dynaamisessa DNS:ssä ohjaa asiakkaat operaattorin yhdyskäytävään, jota monet tilaajat käyttävät, minkä vuoksi nimi ratkeaa ja kättely epäonnistuu silti. Hairpin-testit onnistuvat, koska reititin vastaa omaan sääntöönsä sisältäpäin, ja UPnP:llä on täsmälleen sama sokea piste.
Asiakkaan uudelleenmäärityskään ei auta, koska vika syntyy ennen kuin mitään asiakasasetusta luetaan.
Välitä VPS:n kautta eksplisiittisillä reiteillä
Aseta julkinen osoite eteen vuokraamalla pienin VPS, joka pystyy kuljettamaan liikenteen, ja anna sitten kotireitittimen soittaa ulos siihen. Kotiverkosta lähtevä UDP läpäisee operaattorin NAT:n, joten tunneli muodostuu sisältäpäin ja VPS:stä tulee tavoitettava päätepiste. Kotipuolesta tulee asiakas, jolla on kiinteä tunneliosoite, ei palvelin.
Lisää VPS:lle asiakaskohtainen hakemistomerkintä, jotta palvelin tietää, kummalle vertaiselle kotialiverkko kuuluu, ja lisää vastaava kernel-reitti.
# /etc/openvpn/server/ccd/home-site.conf ifconfig-push 10.8.0.10 255.255.255.0 iroute 192.168.50.0 255.255.255.0 # server.conf client-config-dir /etc/openvpn/server/ccd route 192.168.50.0 255.255.255.0 push "route 10.8.0.0 255.255.255.0"
Rivi iroute kertoo OpenVPN:lle, mikä asiakas vastaanottaa kotialiverkon liikenteen; rivi route laittaa kyseisen aliverkon VPS:n kerneltauluun, jotta paketit ylipäätään pääsevät tunneliin. Julkaistua palvelua varten lisää kohde-NAT-sääntö, joka välittää julkisen portin osoitteeseen 10.8.0.10, ja ota käyttöön net.ipv4.ip_forward.
Testaa polku ulkopuolelta
Vahvista jokainen hyppy julkisella puolella, koska onnistunut tunneli ei todista palvelun tavoitettavuutta. VPS:n kuuntelutila ja paketinkaappaus erottavat tilanteen 'mitään ei saapunut' tilanteesta 'saapui ja hylättiin'.
ss -lunp | grep 1194 tcpdump -ni any udp port 1194 nft list ruleset | grep -A4 dnat # from a phone on mobile data, not the home Wi-Fi nc -vz -u 203.0.113.10 1194
Jos kaappaus näyttää puhelimesta tulevia paketteja mutta ei vastausta, seuraava pysähdys on palvelimen konfiguraatio tai palomuuri. Jos kaappaus ei näytä mitään, asiakas ratkaisee yhä osoitetta tai lähettää väärään osoitteeseen.
Vaihtoehdot, jotka kannattaa hinnoitella ensin
Operaattorin tarjoama oma IPv4-osoite on lyhin ratkaisu ja yleensä pieni kuukausimaksu. Natiivi IPv6 poistaa käännöksen molemmista päistä, kun VPN, asiakasverkko ja DNS-tietueet kaikki tukevat sitä. Kotiverkon sisällä aliverkkoreitittimellä varustettu mesh-peite saavuttaa saman välityksen ilman VPS:ää, mutta koordinointipalvelusta riippumisen hinnalla.
Valitse välitys, kun vaatimus on vakaa saapuva pääsy ja jokaisen säännön pitää pysyä hallinnassasi. Valitse operaattorin osoite, kun budjetti sallii ja tavoite on yksinkertaisesti lakata miettimästä sitä.