NAT ne ke ƙayyade wace adireshin tushe uwar garken VPN ɗinka ke gani da gaske

Kana tunanin uwar garken VPN yana karanta adireshin kwamfutar tafi-da-gidanka ɗinka daga fakiti kuma yana rubuta shi a cikin log. Abin da yake karantawa shi ne abin da tsallen NAT na ƙarshe ya saka a cikin naɗin waje, kuma a wayar da aka yi amfani da ita a matsayin wurin haɗi wannan sau da yawa adireshi ne da ɗaruruwan sauran masu biyan kuɗi suke rabawa. Adireshin na'urarka da kanta 192.168.x.x ba ya taɓa ketare intanet a cikin wannan naɗi, kuma uwar garken ne ke ba da adireshin ramin bayan an riga an kafa haɗin. Don haka idan log ɗin uwar garken da ip addr a kan kwamfutar tafi-da-gidanka ba su daidaita ba, babu ɗaya da ke kuskure; suna bayyana matakai daban-daban na zama ɗaya.

Adireshi uku, kuma ɗaya ne kawai ke cikin log

Ruɗani yana zuwa daga haɗa adireshi uku cikin ɗaya. Kowanne yana da mai shi daban, yana zaune a cikin naɗi daban, kuma yana isa uwar garken ta hanya daban.

Layin tsakiya ne kawai ba a sani ba a lokacin haɗi. Uwar garken tana rubuta shi a cikin teburin abokan aikinta, fayil ɗin matsayi ko log ɗin kwarara dangane da daemon: WireGuard yana kiransa ƙarshen wuri, fayil ɗin matsayi na OpenVPN yana yi masa alama Real Address, kuma strongSwan yana ba da shi a matsayin babban kwamfutar nesa na IKE_SA. Ana sabunta wannan darajar duk lokacin da fakiti ya zo daga wani tushe, don haka yana canzawa ba tare da wani ya sake kunna komai ba.

Layin ƙasa shi ne abin da mutane ke karantawa bisa kuskure a matsayin iƙirarin asali. Yana nuna wuri a cikin tsarin uwar garken, ba mutum ba, domin uwar garken ta zaɓe shi daga tafki nata. Masu amfani biyu za su iya samun adireshin rami ɗaya a ranaku daban, kuma ɗaya zai iya rike biyu daga na'urori biyu.

Me ya sa tuple ɗin da aka yi log ɗinsa ke canzawa alhali ramin yana nan

Fassarar adireshi tebur ne da ke da ƙidayar lokaci, ba haɗi na dindindin ba. Na'urar sadarwa ta gida tana riƙe taswirar UDP ɗinta na ɗan lokaci bayan fakiti na ƙarshe, ƙofar mai ba da sabis tana sake amfani da tashoshi bisa jadawalinta, kuma wayar da ta tashi daga Wi-Fi zuwa LTE tana dawowa da tushe daban. Tsoffin ƙimar conntrack na Linux misali ne mai amfani a nan: nf_conntrack_udp_timeout shine daƙiƙa 30 kuma bambancin yawo shine 120, don haka rami shiru zai iya rasa taswirarsa da daɗewa kafin mai amfani ya lura.

Ramin yana rayuwa domin ka'idar tana tabbatar da abokin haɗi, ba adireshi ba. WireGuard ba shi da matsayi bayan musafaha, don haka kowane fakiti da aka tabbatar yana sabunta ƙarshen wurin da aka adana kuma sake haɗawa yana warkewa a fakiti na gaba; shi ya sa persistent-keepalive = 25 yake, don kiyaye taswirar dumi yayin da ba a yi amfani da ita ba. --float na OpenVPN yana yin wannan aikin, yana barin abokin ciniki da aka tabbatar ya ci gaba daga sabon adireshi da tasha. A cikin gine-ginen 2.4 da 2.5 inda float ke kashe ta tsohuwa, sake haɗawa yana sake saita zaman kuma abokin ciniki yana sake haɗawa.

IPsec yana isa can da ƙarin sassa masu motsi. IKEv2 yana lura da fassara ta hanyar kwatanta hashes na tushe da manufa a cikin kayan aikin gano NAT, ya koma rufewar UDP 4500, kuma yana bin keepalive zuwa sabon tuple. Idan an toshe keepalive, SA yana nan a kan takarda yayin da zirga-zirga a wata hanya ke tsayawa shiru.

Abin da uwar garken za ta iya danganta, da abin da ba za ta iya ba

Tatsuniya da ta cancanci kashewa ita ce fassara tana ɓoye ka daga mai gudanarwa. Tana canza alamar, ba abin lura ba. Ƙofar da ke bayan NAT na mai ba da sabis tana ganin sararin 100.64.0.0/10 ko adireshin jama'a ɗaya da yawancin masu biyan kuɗi suke rabawa, kuma tana iya danganta kwararar da jigon takardar shaidar, maɓallin jama'a na WireGuard, adireshin rami da aka ba da, na'urorin kirga byte da taga lokaci. Babu ɗaya daga cikin waɗannan da ke buƙatar adireshin LAN ɗinka.

Iyakokin suna tafiya wani bangare kuma. Adireshin da aka raba a cikin log yana nuni ga ƙofa, ba gida ba; zama biyu daga wannan adireshin da aka fassara a tashoshi daban-daban na'urori ne daban; adireshi ɗaya a ranaku biyu daban yana iya zama masu biyan kuɗi biyu marasa alaƙa idan an sake amfani da tashar. Uwar garken da ke yin rikodin maɓallan abokan haɗi kawai ba za ta iya danganta ɗaya ga abokin ciniki ba tare da bayanan asusu ba, kuma uwar garken da ke yin rikodin adireshi kawai ba za ta iya bambanta kwamfutar tafi-da-gidanka da waya a bayan na'urar sadarwa ɗaya ba.

Kwatanta ƙarshen biyu maimakon yin hasashe

Don tabbatar da abin da ya faru, ɗauki haɗin ɗaya a ƙarshen biyu a lokaci ɗaya kuma kwatanta tuple ɗin, ba adireshin ba. A kan abokin ciniki, kafin kowace fassara:

ss -uapn 'dport = :51820'
ip -4 route get 203.0.113.10
wg show wg0 endpoints

Sannan karanta shigarwar fassarar a kan na'urar sadarwa ko ƙofar CGNAT, da abin da a ƙarshe ke isa uwar garken:

conntrack -L -p udp --dport 51820
tcpdump -ni eth0 udp port 51820

Misalai uku suna bayyana yawancin rashin daidaituwa. Tashar tushe a uwar garken ta bambanta da tashar gida yayin da manufa ta dace: fassarar tasha ta yau da kullum. Adireshin tushe a uwar garken na cikin rukunin ISP wanda ba naka ba: aƙalla ƙarin matakin NAT ɗaya. Fakitoci suna tsayawa bayan lokacin rashin aiki sannan su ci gaba da sabon tasha: taswirar ta ƙare, ba kuskuren hanya ba. Idan tambarin lokaci sun fi daƙiƙa ɗaya ko biyu nesa, kana kwatanta yunƙuri biyu daban.

Inda bambancin ke karya abubuwa

Katsewar da ke kama da kuskuren uwar garken yawanci suna farawa a nan. Dokar shiga da aka manne wa adireshin gidanka tana gazawa bayan kwangilar ISP ta canza. Dokar fail2ban da ta dace da adireshin da aka fassara tana hana duk masu biyan kuɗi a bayan wannan ƙofar lokaci ɗaya. Abokin haɗi na shafi-da-shafi mai tsayayyen adireshin nesa yana daina sabunta maɓallai bayan hanyar wayar hannu ta canza. Ka'idar ramin tana da kyau; zato game da tuple na waje ba shi da kyau.

Wannan ruɗani ɗaya yana bayyana a bangaren uwar garken. Idan akwatin VPN da kansa yana bayan NAT kana buƙatar tura tasha da hanyar turawa mai aiki; jagorar turawa ta strongSwan tana rufe wannan yanayin don IPsec. Uwar garken da za a iya isa gareta a kan adireshin sirri kawai ba ta taɓa ganin tuple ɗin da aka fassara da abokan cinikinta suke gabatarwa ba, kuma wannan matsala ce daban da fassara abokan ciniki.

Bi waɗannan gwaje-gwaje huɗu cikin tsari kuma tsaya a na farko da ya gaza:

• Ɗauki a ƙarshen biyu a lokaci ɗaya; tabbatar tashar tushe, tashar manufa da tambarin lokaci sun dace.
• Karanta jerin abokan haɗi na uwar garken don adireshin da take riƙe yanzu, ba adireshin da kake tsammani ba.
• Duba teburin conntrack ko NAT don shigarwar da sauran rayuwarta.
• Tabbatar adireshin musaya na rami a kan abokin ciniki ya dace da abin da uwar garken ta ba, ba adireshin LAN ba.

Idan ɗaukan biyun sun yarda a kan tuple ɗin kuma ramin har yanzu ya gaza, fassara ba ita ce matsalarka ba; ci gaba zuwa musafaha da teburin hanya a cikin ramin.