Dupla NAT és a VPN: a kliens működik, a szerver nem

A routered egy másik router mögött van, a WAN-cím privát, és a VPN-kliens mégis csatlakozik. Ez a kombináció meglepi azokat, akik azt várják, hogy a dupla NAT elrontja az alagutakat, pedig éppen a kimenő kapcsolatokat kezeli a fordítás a legjobban. VPN-szervert üzemeltetni ugyanazon két réteg mögött az az eset, amely általában meghiúsul. Rajzold fel a kapcsolat irányát, mielőtt bármit megváltoztatsz.

Először rajzold fel a kapcsolat irányát

Nyisd meg a belső router állapotoldalát, és jegyezd fel a WAN-címét, majd hasonlítsd össze azzal a címmel, amelyet egy nyilvános szolgáltatás jelent neked. Ha a kettő eltér, legalább egy fordító áll a routered és az internet között. Ha a WAN-cím a 100.64.0.0/10 tartományba esik, a külső fordító valószínűleg a szolgáltatódé, és te nem irányítod. Ez a két tény dönti el, hogy a későbbi lépések közül melyik működhet egyáltalán.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

A dupla NAT nem dupla VPN. A fordítás átírja a címeket és portokat; nem ad hozzá egy második titkosított alagutat, és semmit nem titkosít. A két gondolat szétválasztása azért fontos, mert a megoldások teljesen különböznek, és az egyikük beszélgetést igényel a szolgáltatóddal egy beállítási oldal helyett.

Kimenő irány: a kliens kérdez, a fordítók leképeznek

A kimenő alagút a gépedről induló csomaggal kezdődik, így minden fordító létrehozhat egy leképezést, és beengedheti a választ. A protokoll, a port és az üresjárati időzítők döntik el, hogy ez a leképezés elég sokáig él-e ahhoz, hogy hasznos legyen. A legtöbb otthoni router ezt mindenféle beállítás nélkül megoldja.

A ténylegesen megjelenő hibák általában időtúllépésekről és protokolltámogatásról szólnak, nem a routerek számáról. Az az alagút, amely néhány perc csend után leesik, egy lejáró leképezés, és a keepalive a szokásos válasz. Az IPsec szabványos NAT-traversal kiterjesztésekkel rendelkezik, tehát azt állítani, hogy nem tud átkelni a fordításen, egyszerűen hibás. Ha az alagút egyáltalán nem épül fel, nézd meg a végpontot és a hitelesítő adatokat, mielőtt a topológiát hibáztatnád.

wg show
ping -c3 10.8.0.1

Állj meg, ha a kimenő alagút az egyik hálózatból működik, a másikból nem. Ez az összehasonlítás a hálózatokról szól, nem a routerek számáról.

Bejövő irány: a továbbítás csak a saját eszközeidet fedi le

A szerver üzemeltetése az ellenkező irány: egy új kapcsolat érkezik az internetről, és minden rétegen át el kell érnie a gépedet. A belső router porttovábbítási szabálya csak akkor segít, ha a külső fordító is eljuttatja hozzád azt a forgalmat. A helyi szabály megismétlése nem ad irányítást a szolgáltató eszközei felett.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Hasonlítsd össze a belső router WAN-címét a megfigyelt nyilvános címmel, és jegyezd fel, honnan származik az egyes érték. Ha a WAN-cím privát vagy a megosztott tartományban van, a külső réteg olyan fordítást végez, amelyet nem tudsz beállítani. Kérdezd meg a szolgáltatót, milyen bejövő elérhetőséget támogat, mielőtt egy egész estét olyan szabályokra szánsz, amelyek nem léphetnek életbe. Egy router eltávolítása vagy egy tűzfal széles körű kikapcsolása nem diagnózis, és rossz üzlet egyetlen nyitott portért.

Állj meg, ha a külső réteg a szolgáltatóé, és nem továbbít. Akkor a támogatott válaszok egy másik hozzáférési mód vagy egy relay, nem pedig még egy szabály a te oldaladon.

Egyszerre egy változót tesztelj

Tesztenként egy dolgot változtass, és jegyezd fel az eredményt, mert a dupla NAT-os útvonalnak több változója van, mint az egyrouteresnek. Tartsd rögzítve a profilt és az eszközt, majd hasonlíts össze egy másik hozzáférési hálózatot. Figyeld meg, hogy meghiúsul-e a tárgyalás, leesik-e a munkamenet üresjárat után, vagy csak a privát célpontok hibáznak-e. Ez a három megfigyelés három különböző rétegre mutat.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Az átfedő privát alhálózatok külön csapda, amelyet semmilyen fordítás nem javít meg. Ha az otthoni hálózatod és a távoli hálózat ugyanazt a tartományt használja, útvonal-ütközés lép fel, függetlenül attól, hány fordító van közöttük. Az egyik oldal újraszámozása az egyetlen tartós válasz.

A távoli átjáró ugyanannyi figyelmet érdemel, mert a továbbítási szabályai és visszatérési útvonalai lehetnek a hiányzó darab. Egy hitelesítő alagútnak még lehet használható alkalmazásútvonala nélkül, és ez a hiba a kliens oldaláról ugyanúgy néz ki. A kör akkor ér véget, amikor meg tudod mondani, melyik irány hibázik, és melyik réteg felelős érte.