Tvöfalt NAT og VPN-ið þitt: biðlarinn virkar, þjónninn ekki

Beininn þinn stendur bak við annan bein, WAN-vistfangið er einkaaðgangs og VPN-biðlarinn tengist samt. Þessi samsetning kemur á óvart þeim sem búast við að tvöfalt NAT brjóti göngin, en það eru einmitt útleiðandi tengingar sem þýðingin sinnir best. Að hýsa VPN-þjón bak við sömu tvö lögin er tilfellið sem venjulega mistekst. Teiknaðu stefnu tengingarinnar áður en þú breytir nokkru.

Teiknaðu fyrst stefnu tengingarinnar

Opnaðu stöðusíðu innri beinsins og skrifaðu niður WAN-vistfang hans, berðu það svo saman við vistfangið sem opinber þjónusta tilkynnir þér. Ef þau tvö eru ólík er að minnsta kosti einn þýðandi milli beinsins þíns og internetsins. Ef WAN-vistfangið fellur innan 100.64.0.0/10 er ytri þýðandinn líklega hjá þjónustuveitandanum þínum, og þú stjórnar honum ekki. Þessar tvær staðreyndir ráða því hvaða skref síðar geta yfirhöfuð virkað.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Tvöfalt NAT er ekki tvöfalt VPN. Þýðingin endurskrifar vistföng og port; hún bætir ekki við öðru dulkóðuðu gangi og dulkóðar ekkert. Að halda hugmyndunum tveimur aðskildum skiptir máli því lausnirnar eru gjörólíkar, og önnur þeirra krefst samtals við þjónustuveitandann frekar en stillingasíðu.

Útleið: biðlarinn spyr, þýðendurnir varpa

Útleiðandi gangur hefst með pakka frá vélinni þinni, svo hver þýðandi getur búið til vörpun og hleypt svarinu aftur inn. Siðareglurnar, portið og tímar aðgerðarleysis ráða því hvort vörpunin lifir nógu lengi til að gagnast. Flestir neytendabeinar klára þetta án nokkurrar stillingar.

Bilanirnar sem koma í ljós snúast venjulega um tímannörk og stuðning við siðareglur frekar en fjölda beina. Gangur sem dettur eftir nokkrar mínútur af þögn er vörpun sem rennur út, og keepalive er venjulega svarið. IPsec hefur staðlaðar NAT-traversal viðbætur, svo fullyrðingin um að það geti ekki farið í gegnum þýðingu er einfaldlega röng. Ef gangurinn kemst alls ekki á laggirnar skaltu skoða endapunktinn og skírteinin áður en þú kennir topologíunni um.

wg show
ping -c3 10.8.0.1

Stoppaðu ef útleiðandi gangur virkar frá einu neti en ekki öðru. Sá samanburður snýst um netin, ekki fjölda beina.

Innleið: framsending nær aðeins yfir búnað sem þú átt

Að hýsa þjón er öfug stefna: ný tenging berst frá internetinu og verður að ná til vélarinnar þinnar í gegnum hvert lag. Regla um framsendingu ports á innri beininum hjálpar aðeins ef ytri þýðandinn kemur þeim umferðum líka til þín. Að endurtaka staðbundnu regluna veitir ekki stjórn á búnaði þjónustuveitandans.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Berðu WAN-vistfang innri beinsins saman við opinbera vistfangið sem þú sást og skráðu hvaðan hvert gildi kom. Ef WAN-vistfangið er einkaaðgangs eða í sameiginlega bilinu framkvæmir ytra lagið þýðingu sem þú getur ekki stillt. Spurðu þjónustuveitandann hvaða innleiða aðgengi hann styður áður en þú eyðir heilum kvöldi í reglur sem geta ekki tekið gildi. Að fjarlægja bein eða slökkva á eldvegg víða er ekki greining, og það er slæm skipti fyrir eitt opið port.

Stoppaðu ef ytra lagið er þjónustuveitandans og framsendir ekki. Þá eru studdu svörin önnur aðferð við aðgang eða endurvarp, ekki ein regla í viðbót hjá þér.

Prófaðu eina breytu í einu

Breyttu einu atriði í hverri prófun og skráðu niðurstöðuna, því tvöfalt NAT slóð hefur fleiri breytur en slóð með einum bein. Haltu sniðinu og tækinu föstum og berðu svo saman annað aðgangsnet. Taktu eftir hvort samningaviðræðurnar mistakast, hvort lotan dettur eftir aðgerðarleysi eða hvort aðeins einkaaðgangs áfangastaðir mistakast. Þessar þrjár athuganir benda á þrjú mismunandi lög.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Skörun einkaaðgangs undirneta er sérstök gildra sem engin þýðing lagar. Ef heimanetið þitt og fjarnetið nota sama bilið kemur leiðarárekstur fram óháð því hversu margir þýðendur eru á milli. Að endurnúmera aðra hliðina er eina varanlega svarið.

Fjarhliðið á skilið sömu athygli, því framsendingarreglur þess og afturleiðir geta verið hlutinn sem vantar. Gangur sem auðkennist getur samt verið án nothæfrar forritsslóðar, og sú bilun lítur eins út frá biðlarahliðinni. Gangan endar þegar þú getur sagt hvaða stefna mistekst og hvaða lag á það.