NAT dúbailte agus do VPN: oibríonn an cliant, ní oibríonn an freastalaí

Tá do ródaire taobh thiar de ródaire eile, tá an seoladh WAN príobháideach, agus nascann an cliant VPN mar sin féin. Cuireann an meascán sin iontas ar dhaoine a mbíonn súil acu go mbriseann NAT dúbailte na tolláin, ach is iad na naisc amach an rud is fearr a láimhseálann an t-aistriúchán. Is é freastalaí VPN a óstáil taobh thiar den dá chiseal chéanna an cás a theipeann de ghnáth. Tarraing treo an naisc sula n-athraíonn tú rud ar bith.

Tarraing treo an naisc ar dtús

Oscail leathanach stádais an ródaire istigh agus scríobh síos a sheoladh WAN, ansin cuir i gcomparáid é leis an seoladh a thuairiscíonn seirbhís phoiblí duit. Má tá an dá cheann difriúil, tá aistritheoir amháin ar a laghad idir do ródaire agus an t-idirlíon. Má thagann an seoladh WAN laistigh de 100.64.0.0/10, is dócha gur leis an soláthraí an t-aistritheoir seachtrach, agus ní stiúrann tú é. Socraíonn an dá fhíric sin cé acu de na céimeanna níos déanaí a d'fhéadfadh oibriú ar chor ar bith.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Ní VPN dúbailte é NAT dúbailte. Athscríobhann an t-aistriúchán seoltaí agus portanna; ní chuireann sé dara tollán criptithe leis, agus ní chriptíonn sé aon rud. Tá sé tábhachtach an dá smaoineamh a choinneáil scartha, mar tá na réitigh go hiomlán difriúil, agus éilíonn ceann acu comhrá le do sholáthraí seachas leathanach socruithe.

Amach: fiafraíonn an cliant, déanann na haistritheoirí mapáil

Tosaíonn tollán amach le paicéad ó do mheaisín, mar sin is féidir le gach aistritheoir mapáil a chruthú agus ligean don fhreagra teacht ar ais. Socraíonn an prótacal, an port agus na hamadóirí díomhaoine an maireann an mhapáil sin fada go leor le bheith úsáideach. Láimhseálann formhór na ródaireí tomhaltóra é seo gan aon chumraíocht ar chor ar bith.

Baineann na teipeanna a thagann chun solais go hiondúil le hamanna caite agus le tacaíocht prótacail seachas le líon na ródaireí. Is mapáil atá ag dul in éag tollán a thiteann tar éis cúpla nóiméad ciúnais, agus is é keepalive an freagra caighdeánach. Tá síntí caighdeánacha NAT-traversal ag IPsec, mar sin tá sé mícheart ar fad a mhaíomh nach féidir leis aistriúchán a thrasnú. Mura mbunaítear an tollán ar chor ar bith, féach ar an bpointe deiridh agus ar na dintiúirí sula gcuireann tú an milleán ar an topology.

wg show
ping -c3 10.8.0.1

Stop má oibríonn an tollán amach ó líonra amháin agus nach n-oibríonn sé ó líonra eile. Baineann an chomparáid sin leis na líonraí, ní le líon na ródaireí.

Isteach: ní chlúdaíonn an t-ardú ach trealamh atá agat féin

Is é freastalaí a óstáil an treo eile: tagann nasc nua ón idirlíon agus caithfidh sé do mheaisín a shroicheadh trí gach ciseal. Ní chabhraíonn riail ardaithe poirt ar an ródaire istigh ach amháin má sheachadann an t-aistritheoir seachtrach an trácht sin chugat freisin. Ní thugann athrá na rialach áitiúla smacht duit ar threalamh an tsoláthraí.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Cuir seoladh WAN an ródaire istigh i gcomparáid leis an seoladh poiblí a chonaic tú, agus tabhair faoi deara cad as a dtáinig gach luach. Má tá an seoladh WAN príobháideach nó sa raon roinnte, tá an ciseal seachtrach ag déanamh aistriúcháin nach féidir leat a chumrú. Fiafraigh den soláthraí cén inrochtaineacht isteach a thacaíonn sé sula gcaithfidh tú tráthnóna iomlán ar rialacha nach féidir teacht i bhfeidhm. Ní diagnóis é ródaire a bhaint ná balla dóiteáin a mhúchadh go forleathan, agus is drochmhalartú é ar son aon phort amháin oscailte.

Stop má tá an ciseal seachtrach ag an soláthraí agus mura n-ardaíonn sé. Ansin is é an freagra a thacaítear leis modh rochtana eile nó sealaí, ní riail eile ar do thaobhsa.

Tástáil athróg amháin ag an am

Athraigh rud amháin in aghaidh an tástála agus taifead an toradh, mar tá níos mó athróg ag cosán NAT dúbailte ná ag cosán aon ródaire. Coinnigh an phróifíl agus an gléas seasta, ansin cuir líonra rochtana eile i gcomparáid. Tabhair faoi deara an dteipeann ar an idirbheartaíocht, an dtiteann an seisiún tar éis díomhaoine, nó an dteipeann ar chinn scríbe príobháideacha amháin. Cuireann na trí bhreathnóireacht sin in iúl trí chiseal éagsúla.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Is gaiste ar leith iad fo-líonraí príobháideacha forluiteacha nach réitíonn aon mhéid aistriúcháin. Má úsáideann do líonra baile agus an líonra cianda an raon céanna, tagann coinbhleacht bealaigh chun solais is cuma cé mhéad aistritheoir atá eatarthu. Is é athuimhriú taobh amháin an t-aon fhreagra marthanach.

Tá an geata cianda tuillte ag an aird chéanna, mar is féidir lena rialacha ardaithe agus a bhealaí fillte a bheith mar an píosa atá ar iarraidh. Is féidir le tollán a fhíoraíonn a bheith gan aon chosán feidhmchláir inúsáidte fós, agus breathnaíonn an teip sin mar an gcéanna ó thaobh an chliaint. Críochnaíonn an siúlóid nuair is féidir leat a rá cén treo a theipeann agus cé an ciseal atá freagrach as.