CGNAT 뒤의 VPN 서버가 연결을 받지 못하는 이유

라우터는 100.72로 시작하는 WAN 주소를 보고하고, 동적 DNS 이름은 다른 공인 주소로 해석되며, 그 라우터의 VPN 서버는 외부에서 핸드셰이크를 끝내지 못합니다. 포트 포워딩은 설정되어 있고 서비스는 실행 중이며 LAN에서의 테스트는 여전히 작동합니다. 라우터 로그에는 오류처럼 보이는 것이 없습니다. 이 조합은 통신사 등급 NAT이며, ISP가 보유한 주소에서는 어떤 방화벽 규칙도 포트를 열 수 없습니다.

공유 주소를 확인하는 데 두 분이 걸리며 일주일치 구성 변경을 막을 수 있습니다.

통신사 NAT를 가리키는 징후

라우터 상태 페이지의 WAN 주소를 외부 조회가 보고하는 주소와 비교하세요. 100.64.0.0/10 안의 WAN 주소가 일반적인 징후이며, 사설 대역 10/8, 172.16/12, 192.168/16도 같은 의미입니다. traceroute가 같은 공인 홉을 반복해서 보여 주거나 초기 홉이 사설 주소로 응답하면 라우터와 인터넷 사이에 또 다른 변환기가 있습니다. 일부 ISP는 할당된 주소를 고객 포털에만 표시하므로 그 값을 traceroute와 함께 내보내세요.

프로토콜이나 포트를 바꿔도 도움이 되지 않습니다. 문제는 닫힌 포트가 아니라 인바운드 도달성입니다.

포워딩과 동적 DNS가 해결하지 못하는 이유

포트 포워드 규칙은 라우터의 WAN 인터페이스에 있는 포트를 매핑하지만, 인바운드 트래픽은 그 인터페이스에 결코 도달하지 않습니다. ISP가 먼저 변환하고 자체 테이블이 허용하는 것만 전달하기 때문입니다. 공유 주소를 동적 DNS에 게시하면 클라이언트가 많은 가입자가 쓰는 ISP 게이트웨이로 향하게 되므로, 이름은 해석되지만 핸드셰이크는 계속 실패합니다. 헤어핀 테스트가 성공하는 것은 라우터가 내부에서 자기 규칙에 응답하기 때문이며, UPnP에도 똑같은 맹점이 있습니다.

클라이언트를 다시 구성해도 도움이 되지 않습니다. 실패는 어떤 클라이언트 설정이 읽히기 전에 발생합니다.

명시적 경로를 갖춘 VPS를 통한 중계

앞단에 공인 주소를 두세요. 트래픽을 감당할 수 있는 가장 작은 VPS를 임대한 뒤, 가정용 라우터가 그쪽으로 아웃바운드 접속하게 하세요. 가정 네트워크에서 나가는 UDP는 통신사 NAT를 통과하므로 터널은 안쪽에서 수립되고 VPS가 도달 가능한 종단점이 됩니다. 가정 쪽은 고정 터널 주소를 가진 클라이언트가 되며 서버가 아닙니다.

VPS에서 클라이언트 전용 디렉터리 항목을 추가해 서버가 어느 피어가 가정 서브넷을 소유하는지 알게 하고, 일치하는 커널 경로를 추가하세요.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

iroute 줄은 OpenVPN에 가정 서브넷의 트래픽을 어느 클라이언트가 받는지 알려 줍니다. route 줄은 그 서브넷을 VPS 커널 테이블에 넣어 패킷이 터널로 들어가게 합니다. 게시된 서비스라면 공인 포트를 10.8.0.10으로 포워드하는 목적지 NAT 규칙을 추가하고 net.ipv4.ip_forward를 활성화하세요.

외부에서 경로 테스트하기

공인 쪽의 각 홉을 검증하세요. 터널이 성공해도 서비스에 도달할 수 있다는 증거는 아닙니다. VPS의 수신 상태와 패킷 캡처는 '아무것도 오지 않음'과 '도착했지만 버려짐'을 구분합니다.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

캡처에 휴대폰에서 온 패킷이 있지만 응답이 없으면 다음 지점은 서버 구성이나 방화벽입니다. 캡처에 아무것도 없으면 클라이언트가 아직 이름을 해석 중이거나 잘못된 주소로 보내고 있습니다.

먼저 가격을 따져 볼 대안

ISP에서 받는 전용 IPv4 주소가 가장 짧은 해결책이며 보통 소액의 월 요금입니다. VPN, 클라이언트 네트워크, DNS 레코드가 모두 지원하면 네이티브 IPv6는 양쪽 끝의 변환을 없앱니다. 가정 네트워크 안에 서브넷 라우터를 둔 메시 오버레이는 VPS 없이 같은 중계를 제공하지만 조정 서비스에 의존하는 대가가 있습니다.

요구 사항이 안정적인 인바운드 접근이고 모든 규칙이 자신의 통제 아래 있어야 한다면 중계를 선택하세요. 예산이 허락하고 목표가 그저 더 이상 생각하지 않는 것이라면 ISP 주소를 선택하세요.