ორმაგი NAT და თქვენი VPN: კლიენტი მუშაობს, სერვერი — არა

თქვენი როუტერი სხვა როუტერის უკან დგას, WAN მისამართი კერძოა და VPN კლიენტი მაინც უკავშირდება. ეს კომბინაცია აკვირვებს მათ, ვინც ელოდება, რომ ორმაგი NAT გაულევს გვირაბებს, მაგრამ სწორედ გამავალი კავშირებია ის, რასაც თარგმანი ყველაზე კარგად ამუშავებს. VPN სერვერის ჰოსტინგი იმავე ორი ფენის უკან არის შემთხვევა, რომელიც ჩვეულებრივ ჩავარდება. სანამ რამეს შეცვლით, დახაზეთ კავშირის მიმართულება.

ჯერ დახაზეთ კავშირის მიმართულება

გახსენით შიდა როუტერის სტატუსის გვერდი და ჩაწერეთ მისი WAN მისამართი, შემდეგ შეადარეთ იმ მისამართს, რომელსაც რომელიმე საჯარო სერვისი გაცნობებთ. თუ ორივე განსხვავდება, თქვენს როუტერსა და ინტერნეტს შორის სულ ცოტა ერთი მთარგმნელია. თუ WAN მისამართი 100.64.0.0/10 დიაპაზონში ხვდება, გარე მთარგმნელი, სავარაუდოდ, თქვენი პროვაიდერის არის და თქვენ მას არ აკონტროლებთ. ეს ორი ფაქტი წყვეტს, შემდგომი ნაბიჯებიდან რომელი შეიძლება საერთოდ იმუშაოს.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

ორმაგი NAT ორმაგი VPN არ არის. თარგმანი გადაწერს მისამართებსა და პორტებს; ის არ ამატებს მეორე დაშიფრულ გვირაბს და არაფერს შიფრავს. ამ ორი იდეის გამიჯვნა მნიშვნელოვანია, რადგან გადაწყვეტილებები სრულიად განსხვავებულია და ერთი მათგანი პარამეტრების გვერდის ნაცვლად პროვაიდერთან საუბარს მოითხოვს.

გამავალი მიმართულება: კლიენტი იკითხავს, მთარგმნელები აისახებენ

გამავალი გვირაბი იწყება თქვენი მანქანიდან წამოსული პაკეტით, ამიტომ ყოველ მთარგმნელს შეუძლია შექმნას ასახვა და უკან გამოუშვას პასუხი. პროტოკოლი, პორტი და უმოქმედობის ტაიმერები წყვეტს, გადარჩება თუ არა ეს ასახვა საკმარისად დიდხანს, რომ სასარგებლო იყოს. მომხმარებლის როუტერების უმეტესობა ამას ყოველგვარი კონფიგურაციის გარეშე აგვარებს.

ის ხარვეზები, რომლებიც ნამდვილად ჩნდება, ჩვეულებრივ დროის ამოწურვასა და პროტოკოლის მხარდაჭერას ეხება და არა როუტერების რაოდენობას. გვირაბი, რომელიც რამდენიმე წუთიანი სიჩუმის შემდეგ ვარდება, ამოწურული ასახვაა და keepalive სტანდარტული პასუხია. IPsec-ს აქვს სტანდარტული NAT-traversal გაფართოებები, ამიტომ მტკიცება, რომ ის თარგმანს ვერ გადაკვეთს, უბრალოდ მცდარია. თუ გვირაბი საერთოდ არ დგება, ტოპოლოგიის დადანაშაულებამდე შეხედეთ ბოლო წერტილს და სერთიფიკატებს.

wg show
ping -c3 10.8.0.1

შეჩერდით, თუ გამავალი გვირაბი ერთი ქსელიდან მუშაობს და მეორიდან არა. ეს შედარება ქსელებზეა და არა როუტერების რაოდენობაზე.

შემავალი მიმართულება: გადამისამართება მხოლოდ თქვენს საკუთარ აღჭურვილობას მოიცავს

სერვერის ჰოსტინგი საპირისპირო მიმართულებაა: ახალი კავშირი ინტერნეტიდან მოდის და ყოველ ფენაზე გავლით თქვენს მანქანამდე უნდა მიაღწიოს. შიდა როუტერზე პორტის გადამისამართების წესი მხოლოდ მაშინ ეხმარება, როცა გარე მთარგმნელიც ამ ტრაფიკს გაწვდით. ლოკალური წესის გამეორება პროვაიდერის აღჭურვილობაზე კონტროლს არ გაძლევთ.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

შეადარეთ შიდა როუტერის WAN მისამართი თქვენს მიერ დაკვირვებულ საჯარო მისამართს და ჩაწერეთ, საიდან მოვიდა თითოეული მნიშვნელობა. თუ WAN მისამართი კერძოა ან საერთო დიაპაზონშია, გარე ფენა აკეთებს თარგმანს, რომლის კონფიგურაციასაც ვერ შეძლებთ. ჰკითხეთ პროვაიდერს, რა შემავალ ხელმისაწვდომობას უჭერს მხარს, სანამ ძალაში ვერ შესულ წესებზე მთელ საღამოს დახარჯავთ. როუტერის მოხსნა ან ფაირვოლის ფართოდ გამორთვა დიაგნოზი არ არის და ცუდი გაცვლაა ერთი ღია პორტისთვის.

შეჩერდით, თუ გარე ფენა პროვაიდერის არის და ის არ გადაამისამართებს. მაშინ მხარდაჭერილი პასუხებია სხვა წვდომის მეთოდი ან რელე და არა კიდევ ერთი წესი თქვენ მხრიდან.

გამოსცადეთ ერთი ცვლადი ერთდროულად

თითო ტესტზე ერთი რამ შეცვალეთ და ჩაწერეთ შედეგი, რადგან ორმაგი NAT-ის გზას მეტი ცვლადი აქვს, ვიდრე ერთი როუტერის გზას. შეინახეთ პროფილი და მოწყობილობა უცვლელად, შემდეგ შეადარეთ სხვა წვდომის ქსელი. დააკვირდით, ვარდება თუ არა მოლაპარაკება, იწყვეტს თუ არა სესია უმოქმედობის შემდეგ, თუ მხოლოდ კერძო დანიშნულებები ჩავარდება. ეს სამი დაკვირვება სამ სხვადასხვა ფენაზე მიუთითებს.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

გადაფარვადი კერძო ქვექსელები ცალკე ხაფანგია, რომელსაც თარგმანის არც ერთი რაოდენობა არ ასწორებს. თუ თქვენი სახლის ქსელი და დისტანციური ქსელი ერთსა და იმავე დიაპაზონს იყენებს, მარშრუტის კონფლიქტი ჩნდება მიუხედავად იმისა, რამდენი მთარგმნელია მათ შორის. ერთი მხარის გადანომვრა ერთადერთი გამძლე პასუხია.

დისტანციური კარიბჭე იმავე ყურადღებას იმსახურებს, რადგან მისი გადამისამართების წესები და დაბრუნების მარშრუტები შეიძლება იყოს დაკარგული ნაწილი. გვირაბს, რომელიც ავთენტიფიკაციას გადის, მაინც შეიძლება არ ჰქონდეს გამოსადეგი აპლიკაციის გზა და ეს ხარვეზი კლიენტის მხრიდან იდენტურად გამოიყურება. მოგზაურობა მაშინ მთავრდება, როცა შეძლებთ თქვათ, რომელი მიმართულება ჩავარდება და რომელი ფენაა მისი მფლობელი.