Cén fáth nach nglacann freastalaí VPN taobh thiar de CGNAT ceangail riamh

Tuairiscíonn an ródaire seoladh WAN a thosaíonn le 100.72, réitítear an t-ainm DNS dinimiciúil go seoladh poiblí eile, agus ní chríochnaíonn freastalaí VPN an ródaire sin croitheadh láimhe ón taobh amuigh riamh. Tá seoladh na bport cumraithe, tá an tseirbhís ag rith, agus oibríonn tástáil ón LAN fós. Ní fheictear aon rud sa loga ródaire cosúil le hearráid. Is NAT grád-iompróra an teaglaim sin, agus ní féidir le haon riail balla dóiteáin port a oscailt ar sheoladh atá ag an ISP.

Tógann sé dhá nóiméad an seoladh roinnte a dheimhniú agus cuireann sé seachtain d'athruithe cumraíochta chun cosc.

Na comharthaí a chuireann in iúl NAT an iompróra

Cuir seoladh WAN ar leathanach stádais an ródaire i gcomparáid leis an seoladh a thuairiscíonn cuardach seachtrach. Is é seoladh WAN laistigh de 100.64.0.0/10 an comhartha is gnách, agus ciallaíonn na raonta príobháideacha 10/8, 172.16/12 agus 192.168/16 an rud céanna. Má thaispeánann traceroute an t-aon léim phoiblí arís agus arís eile, nó má fhreagraíonn léim luath le seoladh príobháideach, tá aistritheoir eile idir an ródaire agus an t-idirlíon. Ní liostaíonn roinnt ISPanna an seoladh sannta ach i dtairseach an chustaiméara, mar sin easpórtáil an luach sin in éineacht leis an traceroute.

Ní chabhraíonn athrú prótacal ná port, mar is í an tsroichteacht isteach an fhadhb, ní port dúnta.

Cén fáth nach féidir le hatreorú agus DNS dinimiciúil é a shocrú

Mapálann riail atreoraithe poirt port ar chomhéadan WAN an ródaire, ach ní shroicheann trácht isteach an comhéadan sin riamh: aistríonn an ISP ar dtús é agus ní sheolann sé ach an méid a cheadaíonn a thábla féin. Nuair a fhoilsítear an seoladh roinnte i DNS dinimiciúil, treoraítear cliaint chuig geata ISP a úsáideann a lán síntiúsóirí, agus sin an fáth a réitítear an t-ainm agus a theipeann an croitheadh láimhe fós. Éiríonn le tástálacha hairpin mar freagraíonn an ródaire a riail féin ón taobh istigh, agus tá an dallspota céanna go díreach ag UPnP.

Ní chabhróidh athchumrú an chliaint ach an oiread, mar tarlaíonn an teip sula léitear aon socrú cliaint.

Athsheol trí VPS le róid shoiléire

Cuir seoladh poiblí chun tosaigh trí an VPS is lú a fhéadann an trácht a iompar a fháil ar cíos, agus ansin cuir ar an ródaire tí glao amach chuige. Téann UDP amach ón líonra tí trí NAT an iompróra, mar sin bunaítear an tollán ón taobh istigh agus déantar an VPS ina chríochphointe inrochtana. Déantar taobh an tí ina chliant le seoladh tolláin seasta, ní ina fhreastalaí.

Ar an VPS, cuir iontráil eolaire a bhaineann go sonrach leis an gcliant leis ionas go mbeidh a fhios ag an bhfreastalaí cé leis an bhfo-líonra tí, agus cuir ród eithne mheaitseála leis.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

Insíonn an líne iroute do OpenVPN cén cliant a fhaigheann trácht don fho-líonra tí; cuireann an líne route an fo-líonra sin i dtábla eithne an VPS ionas go rachaidh paicéid isteach sa tollán ar chor ar bith. Le haghaidh seirbhíse foilsithe, cuir riail NAT cinn scríbe leis a sheolann an port poiblí chuig 10.8.0.10 agus cumasaigh net.ipv4.ip_forward.

Tástáil an cosán ón taobh amuigh

Fíoraigh gach léim ar an taobh poiblí, mar ní chruthaíonn tollán rathúil go bhfuil an tseirbhís inrochtana. Scarann staid éisteachta agus gabháil paicéad ar an VPS idir 'níor tháinig aon rud' agus 'tháinig agus caitheadh é'.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Má thaispeánann an ghabháil paicéid ón nguthán ach gan aon fhreagra, is é cumraíocht an fhreastalaí nó an balla dóiteáin an chéad stad eile. Mura dtaispeánann an ghabháil aon rud, tá an cliant fós ag réiteach nó ag seoladh chuig an seoladh mícheart.

Roghanna ar fiú a bpraghsáil ar dtús

Is é seoladh IPv4 tiomnaithe ón ISP an réiteach is giorra agus is gnách gur táille bheag mhíosúil é. Baineann IPv6 dúchasach an aistriúchán ar an dá cheann nuair a iompraíonn an VPN, líonra an chliaint agus na taifead DNS go léir é. Sroicheann forleagan mogalra le ródaire fo-líonra laistigh den líonra tí an t-athsheoladh céanna gan VPS, ar chostas a bheith ag brath ar sheirbhís chomhordaithe.

Roghnaigh an t-athsheoladh nuair is é a theastaíonn rochtain isteach sheasmhach agus nuair ba chóir gach riail fanacht faoi do smacht. Roghnaigh seoladh an ISP nuair a ligeann an buiséad dó agus nuair nach bhfuil sa sprioc ach stopadh ag smaoineamh air.