Үй VPN сервері қолжетімсіз: NAT тізбегімен жүріңіз

Сервер LAN-да жауап береді, портты бағыттау ережесі дұрыс көрінеді, бірақ сыртқы клиент қосыла алмайды. Бір шекарадан екіншісіне сыртқа қарай өту ережені төртінші рет өңдеуден жылдамырақ, өйткені әр шекара өз дәлелін қалдырады: маршрутизатордың WAN беті, провайдердің аудармасы және хосттағы тыңдаушы. Өзіңізде бұрыннан ашық әкімшілік бетінен бастап, өзіңіз бақыламайтын желіден жасалған сынақпен аяқтаңыз. Әр нәтижені жүріп отырып жазыңыз, өйткені реттілік бұл диагностика, ал есте қалған сан дәлел емес. Егер сізге тек шығыс туннель керек болса, аударма сіздің мәселеңіз емес: тек сұралмаған кіріс трафигі бұғатталады.

Маршрутизатордың WAN бетінен бастаңыз

Маршрутизаторға кіріп, портты бағыттау тізімін емес, күй бетін оқыңыз. WAN мекенжайын, ол жататын интерфейсті және қосылым түрі DHCP, PPPoE немесе провайдер беретін басқа нәрсе екенін жазып алыңыз. Содан кейін бұл мекенжайды сыртқы қызмет хабарлайтынмен салыстырыңыз, ұялы деректердегі телефонды пайдаланып, бақылау сол маршрутизатор арқылы қайта оралмасын. Екі сан әртүрлі сұрақтарға жауап береді, ал оларды салыстыру осы қадамның бүкіл мәні.

Бақыланған жария мекенжайдан өзгеше WAN мекенжайы маршрутизатордың үстінде кемінде бір аудармашы тұрғанын білдіреді. Бұл әзірге ақау емес, өйткені көп провайдер жобасы бойынша аударады және қызмет әлі жұмыс істейді. Егер екеуі сәйкес келсе, мекенжай маршрутизатордікі болуы мүмкін және мәселе желіңіздің ішіне ауысқан. Қалай болғанда да жұпты күнмен бірге жазыңыз, өйткені провайдерлер мекенжайларды қайта бөледі және өткен айдың жазбаларымен салыстырудың қажеті жоқ.

Бір хоп жоғары көтеріліңіз

Маршрутизатордың өзінен traceroute іске қосып, алғашқы хоптарды оқыңыз. Қайталанатын жария мекенжайлар, жеке мекенжаймен жауап беретін бірінші хоп немесе ортақ 100.64.0.0/10 ауқымындағы мекенжай бәрі жоғарыдағы аудармашыға меңзейді. RFC 6598 осы ауқымды дәл осындай орналастыру үшін анықтайды, сондықтан оны WAN өрісінде көру қызығушылық емес, күшті белгі. Жолда екі аудармашы болса, із анық болмайды, сондықтан бір жолды емес, үлгіні оқыңыз.

Кейбір провайдерлер бөлінген мекенжайды тек тұтынушы порталында көрсетеді, сондықтан маршрутизатор өтірік айтып тұр деген қорытындыға келмес бұрын сол жерге қараңыз. Порталдағы мекенжай сыртқы бақылауыңызға сәйкес келіп, маршрутизатор басқа нәрсе хабарласа, бұл жоғарыдағы аудармашының ең айқын дәлелі. Екі бетті де өзгерістер журналына сақтаңыз, өйткені қай шекара кімдікі деген дау екі күндік суретпен әлдеқайда жылдам шешіледі.

Тыңдаушы мен бағыттауды растаңыз

LAN-дағы сынақ қызметтің жергілікті жұмыс істейтінін дәлелдейді және сырттан қолжетімділік туралы ештеңе дәлелдемейді. Көп маршрутизатор өз бағыттау ережесіне ішінен жауап береді, сондықтан сыртқы жол әлі жабық болса да шаш қыстырғыш сынағы сәтті болады. Демон сіз ойлаған мекенжай мен портқа байланғанын растап, содан кейін сырттан сынаңыз. Төмендегілердің бәрі тек оқу үшін.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Егер сыртқы сынақ маршрутизаторға бірде-бір пакет келмейтінін көрсетсе, құлдырау жоғарыда болған және ешбір жергілікті ереже оны түзетпейді. Пакеттер келіп, ештеңе жауап бермесе, келесі шекара тыңдаушы немесе хосттың брандмауэры. Хостта пакетті ұстау екеуінің қайсысын көріп отырғаныңызды шешеді және ережелерді болжаудың тағы бір айналымынан аз уақыт алады. Салыстыру кезінде тыңдаушы мен оның тасымалын өзгеріссіз ұстаңыз, әйтпесе келесі сынақ басқа сұраққа жауап береді.

Топологияны өзгертіңіз, сол ережені емес

Аудармашы провайдердікі болса, шешім тағы бір бағыттау емес, басқа жол. Жария мекенжайы бар шағын VPS үй жағынан шығыс туннельмен қосылса, қызметтің алдына қолжетімді соңғы нүкте қояды. Провайдер берген жария мекенжай бар жерде қарапайым және машина ұстаудан әдетте арзан. IPv6 аударманы толығымен жояды, бірақ клиент желісі, DNS жазбалары және брандмауэр саясаты бәрі оны қолдауы керек.

Динамикалық DNS тек атауды жаңартады; ол қолжетімділік жасамайды, ал ортақ мекенжайға бағыттау клиенттерді басқа абоненттер де пайдаланатын провайдер шлюзіне жібереді. Бұл сәтсіздік өлі серверге дәл ұқсайды, сондықтан алдыңғы қадамдардың жазбасы маңызды. Сынақ сәтсіз болғанда атау қай мекенжайға шешілгенін жазып, жауапты сынақ нәтижесімен бірге сақтаңыз.

Жоспарды өзіңіз бақылайтын шекараның айналасында қайта жазыңыз: тыңдаушы, туннель және маршруттар. Ескі бағыттауды ол әлі де шындықты сипаттап тұрғанша ғана қалдырыңыз, өйткені топологияға енді сай келмейтін ереже ереженің жоқтығынан жаман. Нақты қай қабат бөгет жасағанын және қандай дәлел мұны көрсеткенін жазыңыз. Әйтпесе әкімшілік бетті ашатын келесі адам бұл жүрістің әр қадамын басынан қайталайды.