CGNAT артындағы VPN сервері неге ешқашан қосылымдарды қабылдамайды

100.64 мекенжайы, басқа жерде шешілетін динамикалық DNS атауы және кіріс қол алысуының болмауы — бір мәселе: оператордың NAT-ы. Оны растаңыз, содан кейін шығыс трафикті реле арқылы өткізіңіз.

Маршрутизатор 100.72-ден басталатын WAN мекенжайын хабарлайды, динамикалық DNS атауы басқа жалпы мекенжайға шешіледі, ал сол маршрутизатордағы VPN сервері сырттан қол алысуды ешқашан аяқтамайды. Порттарды бағыттау конфигурацияланған, қызмет жұмыс істеп тұр, ал жергілікті желіден сынақ әлі де өтеді. Маршрутизатор журналында қатеге ұқсайтын ешнәрсе жоқ. Бұл үйлесім оператор деңгейіндегі NAT болып табылады және ешбір брандмауэр ережесі ISP ұстап тұрған мекенжайға порт аша алмайды.

Ортақ мекенжайды растау екі минут алады және бір апталық конфигурация өзгерістерін болдырмайды.

Оператордың NAT-ына нұсқайтын белгілер

Маршрутизатордың күй бетіндегі WAN мекенжайын сыртқы сұраныс хабарлаған мекенжаймен салыстырыңыз. 100.64.0.0/10 шегіндегі WAN мекенжайы әдеттегі белгі, ал 10/8, 172.16/12 және 192.168/16 жеке диапазондары сол мағынаны білдіреді. Егер traceroute бір жалпы секірісті қайталап көрсетсе немесе ерте секіріс жеке мекенжаймен жауап берсе, маршрутизатор мен интернет арасында тағы бір аудармашы тұр. Кейбір ISP-лер берілген мекенжайды тек тұтынушы порталында көрсетеді, сондықтан сол мәнді traceroute-пен бірге экспорттаңыз.

Хаттамаларды немесе порттарды өзгерту көмектеспейді, өйткені мәселе жабық портта емес, кіріс қолжетімділігінде.

Неге бағыттау мен динамикалық DNS оны түзете алмайды

Портты бағыттау ережесі маршрутизатордың WAN интерфейсіндегі портты сәйкестендіреді, бірақ кіріс трафигі бұл интерфейске ешқашан жетпейді: ISP оны алдымен аударып, тек өз кестесі рұқсат еткенін жібереді. Ортақ мекенжайды динамикалық DNS-те жариялау клиенттерді көп абонент қолданатын ISP шлюзіне бағыттайды, сондықтан атау шешіледі, ал қол алысу бәрібір сәтсіз аяқталады. Hairpin сынақтары сәтті болады, өйткені маршрутизатор өз ережесіне ішінен жауап береді, ал UPnP-де дәл сондай соқыр нүкте бар.

Клиентті қайта конфигурациялау да көмектеспейді, өйткені ақау клиенттің кез келген параметрі оқылғанға дейін пайда болады.

Айқын маршруттармен VPS арқылы реле

Алдына жалпы мекенжай қойыңыз: трафикті тасымалдай алатын ең кішкентай VPS-ті жалға алыңыз, содан кейін үй маршрутизаторын оған шығыс қосылым жасауға мәжбүрлеңіз. Үй желісінен шығатын UDP оператордың NAT-ынан өтеді, сондықтан туннель іштен құрылады және VPS қолжетімді соңғы нүктеге айналады. Үй жағы бекітілген туннель мекенжайы бар клиентке айналады, серверге емес.

VPS-те клиентке тән каталог жазбасын қосыңыз, сервер үй қосымша желісінің қай серіктеске тиесілі екенін білсін, және сәйкес ядро маршрутын қосыңыз.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

iroute жолы OpenVPN-ге үй қосымша желісінің трафигін қай клиент алатынын айтады; route жолы сол қосымша желіні VPS ядросының кестесіне салады, пакеттер туннельге мүлдем кірсін. Жарияланған қызмет үшін жалпы портты 10.8.0.10-ға бағыттайтын тағайындау NAT ережесін қосып, net.ipv4.ip_forward қосыңыз.

Жолды сырттан тексеріңіз

Жалпы жақтағы әрбір секірісті тексеріңіз, өйткені сәтті туннель қызметтің қолжетімді екенін дәлелдемейді. VPS-те тыңдау күйі мен пакетті ұстау «ештеңе келмеді» мен «келді және тасталды» жағдайларын ажыратады.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Егер ұстау телефоннан пакеттерді көрсетсе, бірақ жауап болмаса, келесі аялдама — сервер конфигурациясы немесе брандмауэр. Егер ұстау ештеңе көрсетпесе, клиент әлі шешіп жатыр немесе қате мекенжайға жіберіп жатыр.

Алдымен бағасын салыстыруға тұрарлық баламалар

ISP-тен бөлінген IPv4 мекенжайы ең қысқа шешім және әдетте шағын айлық төлем. VPN, клиент желісі және DNS жазбалары бәрі қолдағанда, жергілікті IPv6 екі жақтағы аударманы жояды. Үй желісінің ішінде қосымша желі маршрутизаторы бар mesh қабаты VPSсіз сол релені қамтамасыз етеді, бірақ үйлестіру қызметіне тәуелділік құнымен.

Талап тұрақты кіріс қолжетімділік болса және әрбір ереже сіздің бақылауыңызда қалуы керек болса, релені таңдаңыз. Бюджет рұқсат етсе және мақсат тек бұл туралы ойлауды тоқтату болса, ISP мекенжайын таңдаңыз.

Қатысты мақалалар