Mengapa Server VPN di Belakang CGNAT Tidak Pernah Menerima Koneksi

Alamat 100.64, nama DNS dinamis yang mengarah ke tempat lain, dan tidak ada jabat tangan masuk adalah satu masalah: NAT operator. Pastikan dulu, lalu teruskan trafik keluar.

Router melaporkan alamat WAN yang dimulai dengan 100.72, nama DNS dinamis mengarah ke alamat publik lain, dan server VPN di router itu tidak pernah menyelesaikan jabat tangan dari luar. Penerusan port sudah dikonfigurasi, layanan berjalan, dan uji dari LAN masih bekerja. Tidak ada yang tampak seperti kesalahan di log router. Kombinasi itu adalah NAT tingkat operator, dan tidak ada aturan firewall yang dapat membuka port pada alamat yang dipegang ISP.

Memastikan alamat bersama hanya butuh dua menit dan mencegah perubahan konfigurasi selama sepekan.

Tanda-tanda yang mengarah ke NAT operator

Bandingkan alamat WAN di halaman status router dengan alamat yang dilaporkan pencarian eksternal. Alamat WAN di dalam 100.64.0.0/10 adalah tanda biasa, dan rentang privat 10/8, 172.16/12, serta 192.168/16 berarti hal yang sama. Jika traceroute menunjukkan hop publik yang sama berulang, atau hop awal menjawab dengan alamat privat, ada penerjemah lain di antara router dan internet. Sebagian ISP hanya mencantumkan alamat yang diberikan di portal pelanggan, jadi ekspor nilai itu bersama traceroute.

Mengganti protokol atau port tidak membantu, karena masalahnya adalah keterjangkauan masuk, bukan port yang tertutup.

Mengapa penerusan dan DNS dinamis tidak dapat memperbaikinya

Aturan penerusan port memetakan port di antarmuka WAN router, tetapi trafik masuk tidak pernah mencapai antarmuka itu: ISP menerjemahkannya lebih dulu dan hanya meneruskan apa yang diizinkan tabelnya sendiri. Menerbitkan alamat bersama di DNS dinamis mengarahkan klien ke gateway ISP yang dipakai banyak pelanggan, itulah sebabnya nama terurai tetapi jabat tangan tetap gagal. Uji hairpin berhasil karena router menjawab aturannya sendiri dari dalam, dan UPnP memiliki titik buta yang persis sama.

Mengonfigurasi ulang klien juga tidak akan membantu, karena kegagalan terjadi sebelum pengaturan klien mana pun dibaca.

Teruskan melalui VPS dengan rute eksplisit

Tempatkan alamat publik di depan dengan menyewa VPS terkecil yang mampu membawa trafik, lalu buat router rumah menghubungi ke arah sana. UDP keluar dari jaringan rumah melewati NAT operator, sehingga terowongan terbentuk dari dalam dan VPS menjadi titik akhir yang dapat dijangkau. Sisi rumah menjadi klien dengan alamat terowongan tetap, bukan server.

Di VPS, tambahkan entri direktori khusus klien agar server tahu peer mana yang memiliki subnet rumah, dan tambahkan rute kernel yang cocok.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

Baris iroute memberi tahu OpenVPN klien mana yang menerima trafik untuk subnet rumah; baris route menaruh subnet itu di tabel kernel VPS agar paket benar-benar masuk ke terowongan. Untuk layanan yang diterbitkan, tambahkan aturan NAT tujuan yang meneruskan port publik ke 10.8.0.10 dan aktifkan net.ipv4.ip_forward.

Uji jalur dari luar

Verifikasi setiap hop di sisi publik, karena terowongan yang berhasil tidak membuktikan layanan dapat dijangkau. Status mendengarkan dan tangkapan paket di VPS memisahkan 'tidak ada yang datang' dari 'datang lalu dibuang'.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Jika tangkapan menunjukkan paket dari ponsel tetapi tidak ada balasan, konfigurasi server atau firewall adalah perhentian berikutnya. Jika tangkapan tidak menunjukkan apa pun, klien masih mengurai atau mengirim ke alamat yang salah.

Alternatif yang perlu dihitung harganya lebih dulu

Alamat IPv4 khusus dari ISP adalah solusi terpendek dan biasanya berupa biaya bulanan kecil. IPv6 asli menghapus penerjemahan di kedua ujung ketika VPN, jaringan klien, dan catatan DNS semuanya mendukungnya. Overlay mesh dengan router subnet di dalam jaringan rumah mencapai penerusan yang sama tanpa VPS, dengan biaya bergantung pada layanan koordinasi.

Pilih penerusan ketika persyaratannya adalah akses masuk yang stabil dan setiap aturan harus tetap dalam kendali Anda. Pilih alamat ISP ketika anggaran memungkinkan dan tujuannya sekadar berhenti memikirkannya.

Artikel terkait