Қос NAT және сіздің VPN: клиент жұмыс істейді, сервер істемейді

Мекенжайларды аударатын екі маршрутизатор шығыс VPN клиентін сирек тоқтатады. Олардың артында сервер орналастыру қиынырақ, әсіресе сыртқы қабат оператор деңгейіндегі NAT болса.

Маршрутизаторыңыз басқа маршрутизатордың артында тұр, WAN мекенжайы жеке, бірақ VPN клиенті бәрібір қосылады. Бұл үйлесім қос NAT туннельдерді бұзады деп күтетіндерді таңқалдырады, алайда аударма ең жақсы меңгеретін нәрсе — дәл шығыс байланыстар. Сол екі қабаттың артында VPN серверін орналастыру — әдетте сәтсіз аяқталатын жағдай. Бірдеңені өзгертуден бұрын байланыс бағытын сызыңыз.

Алдымен байланыс бағытын сызыңыз

Ішкі маршрутизатордың күй бетін ашып, оның WAN мекенжайын жазып алыңыз, содан кейін оны қандай да бір қоғамдық қызмет сізге хабарлаған мекенжаймен салыстырыңыз. Екеуі өзгеше болса, маршрутизаторыңыз бен интернет арасында кемінде бір аударғыш бар. Егер WAN мекенжайы 100.64.0.0/10 ауқымына түссе, сыртқы аударғыш, бәлкім, провайдеріңіздікі және сіз оны басқармайсыз. Осы екі факт кейінгі қадамдардың қайсысы мүлдем жұмыс істей алатынын анықтайды.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Қос NAT — қос VPN емес. Аударма мекенжайлар мен порттарды қайта жазады; ол екінші шифрланған туннель қоспайды және ештеңені шифрламайды. Бұл екі ұғымды бөлек ұстау маңызды, өйткені шешімдер мүлдем басқа және олардың бірі параметрлер бетінің орнына провайдеріңізбен әңгімелесуді талап етеді.

Шығыс бағыт: клиент сұрайды, аударғыштар салыстырады

Шығыс туннель сіздің машинаңыздан шыққан пакеттен басталады, сондықтан әр аударғыш салыстыру жасап, жауапты қайта ішке жібере алады. Протокол, порт және бос тұру таймерлері сол салыстырудың пайдалы болу үшін жеткілікті ұзақ өмір сүретінін анықтайды. Көптеген тұтынушы маршрутизаторлары мұны ешқандай конфигурациясыз шешеді.

Нақты көрінетін ақаулар әдетте маршрутизаторлар санына емес, уақыт шегі мен протоколды қолдауға қатысты. Бірнеше минут тыныштықтан кейін құлайтын туннель — бұл аяқталып жатқан салыстыру, ал keepalive стандартты жауап. IPsec стандартты NAT-traversal кеңейтімдеріне ие, сондықтан оның аудармадан өте алмайтыны туралы мәлімдеме жай ғана қате. Егер туннель мүлдем орнықпаса, топологияны кінәлаудан бұрын соңғы нүктеге және тіркелгі деректеріне қараңыз.

wg show
ping -c3 10.8.0.1

Шығыс туннель бір желіден жұмыс істеп, екіншісінен істемесе, тоқтаңыз. Бұл салыстыру желілер туралы, маршрутизаторлар саны туралы емес.

Кіру бағыт: қайта бағыттау тек өз меншігіңіздегі жабдықты қамтиды

Сервер орналастыру — кері бағыт: интернеттен жаңа қосылым келіп, әр қабаттан өтіп машинаңызға жетуі керек. Ішкі маршрутизатордағы портты қайта бағыттау ережесі сыртқы аударғыш та сол трафикті сізге жеткізгенде ғана көмектеседі. Жергілікті ережені қайталау провайдер жабдығын басқаруға құқық бермейді.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Ішкі маршрутизатордың WAN мекенжайын сіз байқаған қоғамдық мекенжаймен салыстырып, әр мәннің қайдан келгенін жазыңыз. Егер WAN мекенжайы жеке немесе ортақ ауқымда болса, сыртқы қабат сіз конфигурациялай алмайтын аударма жасап жатыр. Күшіне ене алмайтын ережелерге бүкіл кешті жұмсамас бұрын провайдерден қандай кіру қолжетімділігін қолдайтынын сұраңыз. Маршрутизаторды алып тастау немесе брандмауэрді кеңінен өшіру — диагностика емес және бір ашық порт үшін нашар айырбас.

Егер сыртқы қабат провайдердікі болып, ол қайта бағыттамаса, тоқтаңыз. Онда қолдау көрсетілетін жауаптар басқа кіру әдісі немесе реле, сіз жақтағы тағы бір ереже емес.

Бір уақытта бір айнымалыны сынаңыз

Әр сынақта бір нәрсені өзгертіп, нәтижесін жазып отырыңыз, өйткені қос NAT жолында бір маршрутизаторлы жолға қарағанда айнымалылар көбірек. Профиль мен құрылғыны өзгеріссіз ұстап, содан кейін басқа кіру желісімен салыстырыңыз. Келіссөздер сәтсіз аяқтала ма, сессия бос тұрудан кейін құлай ма, әлде тек жеке межелер ғана істемей ме — соны белгілеңіз. Бұл үш байқау үш түрлі қабатты көрсетеді.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Бір-бірімен қабаттасатын жеке ішкі желілер — ешбір аударма мөлшері түзетпейтін жеке тұзақ. Егер үй желіңіз бен алыс желі бір ауқымды пайдаланса, араларында қанша аударғыш болса да, маршрут қақтығысы пайда болады. Бір жақты қайта нөмірлеу — жалғыз тұрақты жауап.

Алыс шлюз де сондай назарға лайық, өйткені оның қайта бағыттау ережелері мен қайтару маршруттары жетіспейтін бөлік болуы мүмкін. Аутентификациядан өткен туннельдің де пайдалануға жарамды қолданба жолы болмауы мүмкін, және бұл ақау клиент жағынан бірдей көрінеді. Қай бағыттың істемейтінін және қай қабаттың жауапты екенін айта алғанда бұл шолу аяқталады.

Қатысты мақалалар