Кош NAT жана VPN: кардар иштейт, сервер иштебейт

Маршрутизаторуңуз башка маршрутизатордун артында турат, WAN дареги жеке менчик, бирок VPN кардары баары бир туташат. Бул айкалыш кош NAT туннелдерди бузат деп күткөндөрдү таң калтырат, бирок котормо эң жакшы иштеген нерсе — сыртка чыгуучу байланыштар. Ошол эле эки катмардын артында VPN серверин жайгаштыруу — адатта ийгиликсиз болгон учур. Бир нерсени өзгөртүүдөн мурун байланыштын багытын тартыңыз.

Алгач байланыштын багытын тартыңыз

Ички маршрутизатордун статус баракчасын ачып, анын WAN дарегин жазып алыңыз, андан кийин аны кандайдыр бир коомдук кызмат сизге билдирген дарек менен салыштырыңыз. Эгер экөө айырмаланса, маршрутизаторуңуз менен интернеттин ортосунда жок дегенде бир которуучу бар. Эгер WAN дареги 100.64.0.0/10 диапазонуна түшсө, сырткы которуучу, сыягы, провайдериңиздики жана сиз аны көзөмөлдөбөйсүз. Бул эки факт кийинки кадамдардын кайсынысы таптакыр иштей аларын аныктайт.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Кош NAT — кош VPN эмес. Котормо даректерди жана портторду кайра жазат; ал экинчи шифрленген туннелди кошпойт жана эч нерсени шифрлебейт. Бул эки идеяны өзүнчө кармоо маанилүү, анткени чечимдер таптакыр башкача жана алардын бири жөндөө баракчасынын ордуна провайдериңиз менен сүйлөшүүнү талап кылат.

Сырткы багыт: кардар сурайт, которуучулар картага түшүрөт

Сыртка чыгуучу туннель сиздин машинеңизден чыккан пакеттен башталат, ошондуктан ар бир которуучу карта түзүп, жоопту кайра киргизе алат. Протокол, порт жана бош турган таймерлер ошол карта пайдалуу болгонго чейин жашайбы же жокпу аныктайт. Керектөөчү маршрутизаторлордун көбү муну эч кандай конфигурациясыз эле чечет.

Чындыгында көрүнгөн бузулуулар адатта маршрутизаторлордун санына эмес, убакыттын бүтүшүнө жана протоколдун колдоосуна тиешелүү. Бир нече мүнөттүк тынчтыктан кийин кулап түшкөн туннель — бул бүтүп бара жаткан карта, ал эми keepalive стандарттуу жооп. IPsec стандарттуу NAT-traversal кеңейтүүлөрүнө ээ, ошондуктан анын котормодон өтө албайт деген ырастоо жөн гана туура эмес. Эгер туннель такыр орношуп калбаса, топологияны күнөөлөөдөн мурун акыркы чекитке жана ырастоо каражаттарына көңүл буруңуз.

wg show
ping -c3 10.8.0.1

Эгер сыртка чыгуучу туннель бир тармактан иштеп, экинчисинен иштебесе, токтогула. Ал салыштыруу тармактар жөнүндө, маршрутизаторлордун саны жөнүндө эмес.

Ички багыт: багыттоо сизге таандык жабдууну гана камтыйт

Серверди жайгаштыруу — карама-каршы багыт: интернеттен жаңы байланыш келип, ар бир катмардан өтүп сиздин машинеңизге жетүүгө тийиш. Ички маршрутизатордогу портту багыттоо эрежеси сырткы которуучу да ошол трафикти сизге жеткиргенде гана жардам берет. Жергиликтүү эрежени кайталоо провайдердин жабдуусуна көзөмөл бербейт.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Ички маршрутизатордун WAN дарегин сиз байкаган коомдук дарек менен салыштырып, ар бир маани кайдан келгенин жазыңыз. Эгер WAN дареги жеке же жалпы диапазондо болсо, сырткы катмар сиз жөндөй албаган котормо жасоодо. Күчүнө кире албаган эрежелерге бүт кечти коротпостон мурун провайдерден кандай кирүү жеткиликтүүлүгүн колдой турганын сураңыз. Маршрутизаторду алып салуу же брандмауэрди кеңири өчүрүү — диагноз эмес жана бир ачык порт үчүн начар алмашуу.

Эгер сырткы катмар провайдердики болуп, ал багыттабаса, токтогула. Анда колдоого алынган жооптор башка кирүү ыкмасы же реле, сиздин тараптагы дагы бир эреже эмес.

Бир убакта бир гана өзгөрмөнү сынаңыз

Ар бир сыноодо бир нерсени өзгөртүп, натыйжаны жазыңыз, анткени кош NAT жолунда бир маршрутизатордун жолуна караганда өзгөрмөлөр көбүрөөк. Профилди жана түзмөктү туруктуу кармап, анан башка кирүү тармагы менен салыштырыңыз. Сүйлөшүү ийгиликсизби, сессия бош тургандан кийин түшөбү, же жеке даректер гана ийгиликсизби — белгилеңиз. Бул үч байкоо үч башка катмарды көрсөтөт.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Кайчылашкан жеке ички тармактар өзүнчө тузак, аны эч канча котормо түздөбөйт. Эгер үй тармагыңыз менен алыскы тармак бирдей диапазонду колдонсо, ортосунда канча которуучу болбосун, маршрут кагылышы пайда болот. Бир тарапты кайра номерлөө — жалгыз туруктуу жооп.

Алыскы шлюз да ошондой көңүлгө татыктуу, анткени анын багыттоо эрежелери жана кайтаруу маршруттары жетишпеген бөлүк болушу мүмкүн. Аутентификациядан өткөн туннелдин да колдонууга жарактуу колдонмо жолу болбошу мүмкүн, жана бул бузулуу кардар тарабынан бирдей көрүнөт. Кайсы багыт ийгиликсиз болуп, кайсы катмар ага жооп берерин айта алганыңызда бул сереп бүтөт.