Dvostruki NAT i vaš VPN: klijent radi, poslužitelj ne

Vaš usmjerivač stoji iza drugog usmjerivača, WAN adresa je privatna, a VPN klijent se ipak povezuje. Ta kombinacija iznenađuje ljude koji očekuju da će dvostruki NAT pokvariti tunele, ali odlazne veze su upravo ono što prevođenje najbolje rješava. Hostanje VPN poslužitelja iza istih tih dvaju slojeva je slučaj koji obično propada. Nacrtajte smjer veze prije nego što bilo što promijenite.

Prvo nacrtajte smjer veze

Otvorite statusnu stranicu unutarnjeg usmjerivača i zapišite njegovu WAN adresu, pa je usporedite s adresom koju vam prijavi javna usluga. Ako se dvije razlikuju, između vašeg usmjerivača i interneta stoji barem jedan prevoditelj. Ako WAN adresa pada unutar 100.64.0.0/10, vanjski prevoditelj vjerojatno pripada vašem pružatelju usluge i vi ga ne kontrolirate. Te dvije činjenice odlučuju koji od kasnijih koraka uopće može uspjeti.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Dvostruki NAT nije dvostruki VPN. Prevođenje prepisuje adrese i portove; ono ne dodaje drugi šifrirani tunel i ništa ne šifrira. Razdvajanje tih dviju ideja je važno jer su rješenja potpuno različita, a jedno od njih uključuje razgovor s vašim pružateljem usluge, a ne stranicu s postavkama.

Odlazni smjer: klijent pita, prevoditelji mapiraju

Odlazni tunel počinje paketom s vašeg stroja, pa svaki prevoditelj može stvoriti mapiranje i pustiti odgovor natrag. Protokol, port i timeri mirovanja odlučuju hoće li to mapiranje preživjeti dovoljno dugo da bude korisno. Većina potrošačkih usmjerivača to rješava bez ikakve konfiguracije.

Kvarovi koji se zaista pojavljuju obično se tiču vremenskih ograničenja i podrške za protokole, a ne broja usmjerivača. Tunel koji padne nakon nekoliko minuta tišine je mapiranje koje istječe, a keepalive je standardni odgovor. IPsec ima standardna NAT-traversal proširenja, pa je tvrdnja da ne može proći kroz prevođenje jednostavno netočna. Ako se tunel uopće ne uspostavi, pogledajte krajnju točku i vjerodajnice prije nego što okrivite topologiju.

wg show
ping -c3 10.8.0.1

Zaustavite se ako odlazni tunel radi s jedne mreže, a s druge ne. Ta usporedba odnosi se na mreže, a ne na broj usmjerivača.

Dolazni smjer: prosljeđivanje pokriva samo opremu koju posjedujete

Hostanje poslužitelja je obrnut smjer: nova veza dolazi s interneta i mora doći do vašeg stroja kroz svaki sloj. Pravilo za prosljeđivanje porta na unutarnjem usmjerivaču pomaže samo ako i vanjski prevoditelj taj promet dostavi vama. Ponavljanje lokalnog pravila ne daje kontrolu nad opremom pružatelja usluge.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Usporedite WAN adresu unutarnjeg usmjerivača s javnom adresom koju ste primijetili i zabilježite odakle dolazi svaka vrijednost. Ako je WAN adresa privatna ili u dijeljenom rasponu, vanjski sloj obavlja prevođenje koje ne možete konfigurirati. Pitajte pružatelja usluge koju dolaznu dostupnost podržava prije nego što potrošite cijelu večer na pravila koja ne mogu stupiti na snagu. Uklanjanje usmjerivača ili široko isključivanje vatrozida nije dijagnoza i loša je trgovina za jedan otvoreni port.

Zaustavite se ako vanjski sloj pripada pružatelju usluge i ne prosljeđuje. Tada su podržani odgovori drugi način pristupa ili relay, a ne još jedno pravilo na vašoj strani.

Testirajte jednu varijablu odjednom

Mijenjajte jednu stvar po testu i bilježite rezultat, jer put s dvostrukim NAT-om ima više varijabli od puta s jednim usmjerivačem. Držite profil i uređaj fiksnima, pa usporedite drugu pristupnu mrežu. Zabilježite da li pregovaranje ne uspijeva, da li sesija pada nakon mirovanja ili da li ne uspijevaju samo privatna odredišta. Ta tri zapažanja upućuju na tri različita sloja.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Preklapajuće privatne podmreže su odvojena zamka koju nikakva količina prevođenja ne ispravlja. Ako vaša kućna mreža i udaljena mreža koriste isti raspon, sukob ruta se pojavljuje bez obzira na to koliko prevoditelja stoji između. Prenumeriranje jedne strane jedini je trajni odgovor.

Udaljeni gateway zaslužuje istu pažnju, jer njegova pravila prosljeđivanja i povratne rute mogu biti dio koji nedostaje. Tunel koji prođe autentifikaciju i dalje može nemati upotrebljivu putanju za aplikacije, a taj kvar s klijentske strane izgleda identično. Šetnja završava kada možete reći koji smjer ne radi i koji je sloj za njega odgovoran.