Thús-VPN-tsjinner net berikber: rin de NAT-ketting del

De tsjinner antwurdet op it LAN, de poarte-trochstjoerregel liket goed, en dochs kin in eksterne klant gjin ferbining meitsje. Ien grins tagelyk nei bûten rinne is flugger as de regel in fjirde kear bewurkje, want elke grins lit syn eigen bewiis efter: de WAN-side fan 'e router, de oersetting fan 'e provider en de listener op 'e host. Begjin op 'e beheartside dy't jo al iepen hawwe en einigje mei in test fan in netwurk dat jo net beheare. Skriuw elk resultaat ûnderweis op, want de folchoarder is de diagnoaze en in ûntholden getal is gjin bewiis. As jo allinnich in útgeande tunnel nedich hawwe, is oersetting net jo probleem: allinnich net-frege ynkommend ferkear wurdt blokkearre.

Begjin op 'e WAN-side fan 'e router

Meld jo oan by de router en lês de statusside ynstee fan 'e list mei poarte-trochstjoeringen. Notearje it WAN-adres, de interface dêr't it by heart en oft it ferbiningstype DHCP, PPPoE of eat is dat de provider leveret. Fergelykje dat adres dan mei wat in eksterne tsjinst rapportearret, mei in tillefoan op mobyl data sadat de waarnimming net werom reizget troch deselde router. De twa getallen beantwurdzje ferskate fragen, en se fergelykje is it hiele doel fan dizze stap.

In WAN-adres dat ferskilt fan it waarnommen iepenbiere adres betsjut dat der op syn minst ien oersetter boppe de router sit. Dat is noch gjin flater, want in protte providers oersette by ûntwerp en de tsjinst wurket noch. As de twa oerienkomme, is it adres wierskynlik fan 'e router en is it probleem jo netwurk yn ferhuze. Skriuw it pear yn alle gefallen mei de datum op, want providers tawize adressen opnij ta en in fergeliking mei de notysjes fan ferline moanne is weardeleas.

Rin ien hop omheech

Rin in traceroute fan 'e router sels en lês de earste pear hops. Werhelle iepenbiere adressen, in earste hop dy't antwurdet mei in privee-adres of in adres yn it dielde berik 100.64.0.0/10 wize allegear op in oersetter boppe. RFC 6598 definiearret dat berik krekt foar sa'n ynset, en dêrom is it in sterk sinjaal en gjin nijsgjirrigens om it yn it WAN-fjild te sjen. Twa oersetters yn it paad meitsje it spoar minder dúdlik, dus lês it patroan en net ien rigel.

Guon providers litte it tawiisde adres allinnich yn it klantportaal sjen, dus sjoch dêr earst foardat jo konkludearje dat de router ljocht. In portaaladres dat oerienkomt mei jo eksterne waarnimming wylst de router eat oars rapportearret, is it dúdlikste bewiis fan in oersetter boppe. Bewarje beide siden yn it feroaringsloch, want de diskusje oer wa't hokker grins besit giet folle flugger mei twa datearre bylden.

Befêstigje de listener en de trochstjoering

In test op it LAN bewissiget dat de tsjinst lokaal wurket en bewissiget neat oer berikberens fan bûten. In protte routers antwurdzje har eigen trochstjoerregel fan binnen, sadat in hairpin-test slagget wylst it eksterne paad noch ticht is. Befêstigje dat de daemon bûn is oan it adres en de poarte dy't jo tinke, en test dan fan bûten. Alles hjirûnder is allinnich lêze.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

As de eksterne test sjen lit dat gjin pakket de router berikt, hat de fal boppe plakfûn en gjin lokale regel sil dat ferbetterje. As pakketten wol komme en neat antwurdet, is de listener of de firewall fan 'e host de folgjende grins. In pakketopname op 'e host beslút hokker fan de twa jo besjen, en dat kostet minder tiid as noch in ronde regel rieden. Hâld de listener en syn ferfier ûnferoare wylst jo fergelykje, oars beantwurdet de folgjende test in oare fraach.

Feroarje de topologij, net deselde regel

As de oersetter fan 'e provider is, is de oplossing in oar paad en net noch in trochstjoering. In lytse VPS mei in iepenbier adres, ferbûn troch in útgeande tunnel fan 'e thúskant, set in berikber einpunt foar de tsjinst. In iepenbier adres fan 'e provider is ienfâldiger wêr't it bestiet en meastentiids goedkeaper as it draaien fan in masjine. IPv6 hellet de oersetting hielendal fuort, op betingst dat it klantnetwurk, de DNS-records en it firewallbelied it allegear stypje.

Dynamyske DNS fernijt allinnich in namme; it makket gjin berikberens en it rjochtsjen op in dield adres stjoert klanten nei in providerpoarte dy't oare abonnees ek brûke. Dy mislearring liket krekt op in deade tsjinner, en dêrom is it ferslach fan 'e eardere stappen wichtich. Notearje nei hokker adres de namme oplost is doe't de test mislearre, en hâld it antwurd by it testresultaat.

Skriuw it plan opnij om 'e grins hinne dy't jo beheare: de listener, de tunnel en de rûtes. Hâld de âlde trochstjoering allinnich stean salang't dy noch eat wiers beskriuwt, want in regel dy't net mear by de topologij past is slimmer as gjin regel. Notearje hokker laach eins blokkearre en hokker bewiis dat sjen liet. Oars werhellet de folgjende persoan dy't de beheartside iepenet elke stap fan dizze kuiertocht fan it begjin ôf.