NAT Ganda dan VPN Anda: klien berfungsi, server tidak

Router Anda berada di belakang router lain, alamat WAN bersifat privat, dan klien VPN tetap terhubung. Kombinasi itu mengejutkan orang yang mengira NAT ganda akan merusak terowongan, padahal justru koneksi keluar yang paling baik ditangani penerjemahan. Menghosting server VPN di belakang dua lapisan yang sama adalah kasus yang biasanya gagal. Gambarkan arah koneksinya sebelum Anda mengubah apa pun.

Gambarkan arah koneksinya lebih dulu

Buka halaman status router dalam dan catat alamat WAN-nya, lalu bandingkan dengan alamat yang dilaporkan layanan publik kepada Anda. Jika keduanya berbeda, setidaknya ada satu penerjemah antara router Anda dan internet. Jika alamat WAN berada di dalam 100.64.0.0/10, penerjemah luarnya kemungkinan milik penyedia Anda, dan Anda tidak mengendalikannya. Kedua fakta itu menentukan langkah mana yang mungkin berhasil.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

NAT ganda bukan VPN ganda. Penerjemahan menulis ulang alamat dan port; ia tidak menambahkan terowongan terenkripsi kedua, dan tidak mengenkripsi apa pun. Memisahkan kedua gagasan itu penting karena solusinya sama sekali berbeda, dan salah satunya menuntut percakapan dengan penyedia Anda, bukan halaman pengaturan.

Keluar: klien bertanya, penerjemah memetakan

Terowongan keluar dimulai dengan paket dari mesin Anda, sehingga setiap penerjemah dapat membuat pemetaan dan membiarkan balasannya masuk kembali. Protokol, port, dan penghitung waktu diam menentukan apakah pemetaan itu bertahan cukup lama untuk berguna. Sebagian besar router konsumen menangani ini tanpa konfigurasi apa pun.

Kegagalan yang benar-benar muncul biasanya menyangkut batas waktu dan dukungan protokol, bukan jumlah router. Terowongan yang putus setelah beberapa menit diam adalah pemetaan yang kedaluwarsa, dan keepalive adalah jawaban standarnya. IPsec memiliki ekstensi NAT-traversal standar, jadi menyatakan bahwa ia tidak dapat melewati penerjemahan jelas salah. Jika terowongan sama sekali tidak terbentuk, periksa titik akhir dan kredensial sebelum menyalahkan topologi.

wg show
ping -c3 10.8.0.1

Berhentilah jika terowongan keluar berfungsi dari satu jaringan dan tidak dari jaringan lain. Perbandingan itu menyangkut jaringannya, bukan jumlah router.

Masuk: penerusan hanya mencakup peralatan milik Anda

Menghosting server adalah arah sebaliknya: koneksi baru datang dari internet dan harus mencapai mesin Anda melewati setiap lapisan. Aturan penerusan port pada router dalam hanya membantu jika penerjemah luar juga mengantarkan lalu lintas itu kepada Anda. Mengulang aturan lokal tidak memberi kendali atas peralatan penyedia.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Bandingkan alamat WAN router dalam dengan alamat publik yang Anda amati, dan catat dari mana setiap nilai berasal. Jika alamat WAN privat atau berada di rentang bersama, lapisan luar melakukan penerjemahan yang tidak dapat Anda konfigurasi. Tanyakan kepada penyedia akses masuk seperti apa yang didukungnya sebelum Anda menghabiskan sepanjang malam pada aturan yang tidak mungkin berlaku. Melepas router atau mematikan firewall secara luas bukanlah diagnosis, dan itu pertukaran buruk untuk satu port terbuka.

Berhentilah jika lapisan luar milik penyedia dan tidak meneruskan. Maka jawaban yang didukung adalah metode akses lain atau relai, bukan aturan lain di pihak Anda.

Uji satu variabel setiap kali

Ubah satu hal per uji dan catat hasilnya, karena jalur NAT ganda punya lebih banyak variabel daripada jalur satu router. Pertahankan profil dan perangkat tetap, lalu bandingkan jaringan akses lain. Perhatikan apakah negosiasi gagal, apakah sesi putus setelah diam, atau apakah hanya tujuan privat yang gagal. Ketiga pengamatan itu menunjuk ke tiga lapisan berbeda.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Subnet privat yang bertumpang tindih adalah jebakan tersendiri yang tidak bisa diperbaiki oleh berapa pun penerjemahan. Jika jaringan rumah Anda dan jaringan jarak jauh memakai rentang yang sama, konflik rute muncul berapa pun penerjemah di antaranya. Penomoran ulang salah satu sisi adalah satu-satunya jawaban yang tahan lama.

Gerbang jarak jauh layak mendapat perhatian yang sama, karena aturan penerusan dan rute baliknya bisa menjadi bagian yang hilang. Terowongan yang lolos autentikasi tetap bisa tidak punya jalur aplikasi yang dapat dipakai, dan kegagalan itu tampak sama dari sisi klien. Penelusurannya berakhir ketika Anda dapat mengatakan arah mana yang gagal dan lapisan mana yang bertanggung jawab.