Kućni VPN server nije dostupan: prođite kroz NAT lanac

Server odgovara na LAN-u, pravilo prosljeđivanja porta izgleda ispravno, a vanjski klijent se ipak ne može povezati. Prelaženje jedne granice po jedne prema van brže je od četvrtog uređivanja pravila, jer svaka granica ostavlja svoj dokaz: WAN stranica rutera, ISP-ov prevod i slušalac na hostu. Počnite od administratorske stranice koju već imate otvorenu i završite testom iz mreže koju ne kontrolišete. Zapisujte svaki rezultat usput, jer slijed jeste dijagnoza, a zapamćeni broj nije dokaz. Ako vam treba samo odlazni tunel, prijevod nije vaš problem: blokira se samo neželjeni dolazni saobraćaj.

Počnite od WAN stranice rutera

Prijavite se na ruter i čitajte stranicu stanja, a ne listu prosljeđivanja portova. Zabilježite WAN adresu, interfejs kojem pripada i je li tip veze DHCP, PPPoE ili nešto što osigurava ISP. Zatim uporedite tu adresu s onim što javlja vanjska usluga, koristeći telefon na mobilnim podacima kako se zapažanje ne bi vraćalo kroz isti ruter. Dva broja odgovaraju na različita pitanja, a njihovo poređenje je cijela svrha ovog koraka.

WAN adresa koja se razlikuje od zapažene javne adrese znači da barem jedan prevodilac stoji iznad rutera. To još nije kvar, jer mnogi provajderi prevode po dizajnu i usluga i dalje radi. Ako se dvije podudaraju, ruter vjerovatno posjeduje adresu i problem se preselio unutar vaše mreže. U svakom slučaju zapišite par s datumom, jer provajderi preraspodjeljuju adrese i poređenje s prošlomjesečnim bilješkama je bezvrijedno.

Prođite jedan hop prema gore

Pokrenite traceroute s rutera i pročitajte prvih nekoliko hopova. Ponavljajuće javne adrese, prvi hop koji odgovara privatnom adresom ili adresa unutar zajedničkog raspona 100.64.0.0/10 sve upućuju na prevodioca iznad. RFC 6598 definiše taj raspon upravo za ovakvo postavljanje, zato je njegovo viđenje u WAN polju snažan signal, a ne zanimljivost. Dva prevodioca na putu čine trag manje očiglednim, pa čitajte obrazac, a ne jedan red.

Neki provajderi prikazuju dodijeljenu adresu samo u korisničkom portalu, zato pogledajte tamo prije nego zaključite da ruter laže. Adresa u portalu koja se podudara s vašim vanjskim zapažanjem dok ruter javlja nešto drugo najjasniji je dokaz prevodioca iznad. Sačuvajte obje stranice u zapis o promjenama, jer rasprava o tome kome pripada koja granica ide mnogo brže s dvije slike s datumom.

Potvrdite slušaoca i prosljeđivanje

LAN test dokazuje da usluga radi lokalno i ne dokazuje ništa o dostupnosti izvana. Mnogi ruteri odgovaraju na vlastito pravilo prosljeđivanja iznutra, pa test petlje uspijeva dok je vanjski put još zatvoren. Potvrdite da je demo pri vezan za adresu i port koje mislite da koristi, pa testirajte izvana. Sve ispod je samo za čitanje.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Ako vanjski test pokaže da nijedan paket ne stiže do rutera, odbacivanje se dogodilo iznad i nijedno lokalno pravilo to neće popraviti. Ako paketi stižu a ništa ne odgovara, sljedeća granica je slušalac ili firewall na hostu. Hvatanje paketa na hostu rješava koje od dvoje gledate i traje manje od još jedne runde nagađanja pravila. Držite slušaoca i njegov transport nepromijenjene dok poredite, inače sljedeći test odgovara na drugo pitanje.

Promijenite topologiju, a ne isto pravilo

Kada prevodilac pripada ISP-u, popravka je drugi put, a ne još jedno prosljeđivanje. Mali VPS s javnom adresom, povezan odlaznim tunelom s kućne strane, stavlja dostupnu krajnju tačku ispred usluge. Javna adresa koju daje provajder jednostavnija je gdje postoji i obično jeftinija od održavanja mašine. IPv6 potpuno uklanja prevođenje, uz uslov da klijentska mreža, DNS zapisi i firewall politika to sve podržavaju.

Dinamički DNS samo ažurira ime; ne stvara dostupnost, a usmjeravanje na zajedničku adresu šalje klijente na provajderov prolaz koji koriste i drugi pretplatnici. Taj kvar izgleda tačno kao mrtav server, zato je zapis iz ranijih koraka važan. Zabilježite na koju se adresu ime razriješilo kada je test pao i čuvajte odgovor uz rezultat testa.

Prepišite plan oko granice koju kontrolišete: slušaoca, tunela i ruta. Držite staro prosljeđivanje na mjestu samo dok još opisuje nešto istinito, jer pravilo koje više ne odgovara topologiji gore je od nikakvog pravila. Zabilježite koji je sloj zaista blokirao i koji dokaz je to pokazao. Inače sljedeća osoba koja otvori administratorsku stranicu ponavlja svaki korak ove šetnje od početka.