Dûbele NAT en jo VPN: de klient wurket, de server net

Jo router stiet efter in oare router, it WAN-adres is privee, en de VPN-klient ferbynt dochs. Dy kombinaasje ferrast minsken dy't ferwachtsje dat dûbele NAT de tunnels brekke sil, mar krekt útgeande ferbiningen oersetting it bêste oan kin. In VPN-server efter deselde twa lagen hoste is it gefal dat meastentiids mislearret. Tekenje earst de rjochting fan de ferbining foardat jo wat feroarje.

Tekenje earst de rjochting fan de ferbining

Iepenje de statusside fan de binnenrouter en skriuw it WAN-adres op, fergelykje it dan mei it adres dat in publike tsjinst jo meldt. As de twa ferskille, stiet der teminsten ien oersetter tusken jo router en it ynternet. As it WAN-adres yn 100.64.0.0/10 falt, is de bûtenste oersetter wierskynlik fan jo provider, en jo behearskje dy net. Dy twa feiten beslisse hokker fan de lettere stappen uberhapt wurkje kin.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Dûbele NAT is gjin dûbele VPN. Oersetting skriuwt adressen en poarten oer; it foeget gjin twadde fersifere tunnel ta, en it fersifereet neat. De twa ideeën apart hâlde is wichtich, want de oplossingen binne folslein oars, en ien fan harren freget in petear mei jo provider ynstee fan in ynstellingsside.

Utgeand: de klient freget, de oersetters mappe

In útgeande tunnel begjint mei in pakket fan jo masine, sadat elke oersetter in mapping meitsje kin en it antwurd weromkomme lit. It protokoll, de poarte en de idle-timers beslisse oft dy mapping lang genôch oerlibbet om nuttich te wêzen. De measte konsuminterouters dogge dit sûnder hokker konfiguraasje dan ek.

De flaters dy't wol foarkomme geane meastentiids oer time-outs en protokollstipe, net oer it oantal routers. In tunnel dy't nei in pear minuten stilte falt, is in mapping dy't ferrint, en in keepalive is it standert antwurd. IPsec hat standert NAT-traversal-útwreidings, dus beare dat it gjin oersetting kruse kin is gewoan ferkeard. As de tunnel hielendal net ta stân komt, sjoch dan nei it einpunt en de oanmeldgegevens foardat jo de topology de skuld jouwe.

wg show
ping -c3 10.8.0.1

Stop as de útgeande tunnel fan ien netwurk wurket en fan in oar net. Dy fergeliking giet oer de netwurken, net oer it oantal routers.

Yngaand: trochstjoere dekt allinnich apparatuer dy't jo besitte

In server hoste is de tsjinstelde rjochting: in nije ferbining komt fan it ynternet en moat jo masine berikke troch elke laach. In poartetrochstjoerregel op de binnenrouter helpt allinnich as de bûtenste oersetter dat ferkear ek by jo bringt. It pleatslike regel werhelje jout jo gjin kontrôle oer de apparatuer fan de provider.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Fergelykje it WAN-adres fan de binnenrouter mei it publike adres dat jo seagen, en notearje wêr't elke wearde wei komt. As it WAN-adres privee is of yn it dielde berik leit, docht de bûtenste laach oersetting dy't jo net konfigurearje kinne. Freegje de provider hokker yngaande berikberens dy stipet foardat jo in jûn besteegje oan regels dy't net fan krêft wurde kinne. In router fuorthelje of in firewall breed útskeakelje is gjin diagnoaze, en it is in minne ruil foar ien iepen poarte.

Stop as de bûtenste laach fan de provider is en dy net trochstjoert. Dan binne de stipe antwurden in oare tagongsmetoade of in relay, net noch in regel oan jo kant.

Test ien fariabele tagelyk

Feroarje ien ding per test en notearje it resultaat, want in dûbele-NAT-paad hat mear fariabelen as in paad mei ien router. Hâld it profyl en it apparaat fêst en fergelykje dan in oar tagongsnetwurk. Notearje oft de ûnderhanneling mislearret, oft de sesje nei idle falt, of oft allinnich privee bestimmings mislearje. Dy trije waarnimmingen wize op trije ferskillende lagen.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Oerlaapjende privee subnetten binne in aparte falstrik dy't gjin hoemannichte oersetting reparearret. As jo thúsnetwurk en it fiere netwurk itselde berik brûke, ûntstiet in rûtekonflikt, hoefolle oersetters der ek tusken sitte. Ien kant opnij nûmerje is it iennichste duorsume antwurd.

De fiere gateway fertsjinnet deselde oandacht, want syn trochstjoerregels en weromrûtes kinne it ûntbrekkende stik wêze. In tunnel dy't autentisearret kin dochs gjin brûkber applikaasjepaad hawwe, en dy flater sjocht der fan de klantkant itselde út. De rûnlieding einiget as jo sizze kinne hokker rjochting mislearret en hokker laach dêr ferantwurdlik foar is.