Үй VPN сервери жеткиликсиз: NAT тизмегинен өтүңүз

Сервер LANда жооп берет, портту багыттоо эрежеси туура көрүнөт, бирок сырткы кардар кошула албайт. Бир чектен экинчисине сыртка карай өтүү эрежени төртүнчү жолу оңдоодон тезирээк, анткени ар бир чек өз далилин калтырат: маршрутизатордун WAN баракчасы, провайдердин котормосу жана хосттогу угуучу. Өзүңүздө мурунтан ачык башкаруу баракчасынан баштап, өзүңүз көзөмөлдөбөгөн тармактан жасалган сыноо менен бүтүрүңүз. Ар бир жыйынтыкты жүрүп отуруп жазыңыз, анткени ырааттуулук диагностика, ал эми эсте калган сан далил эмес. Эгер сизге чыгуучу туннел гана керек болсо, котормо сиздин маселеңиз эмес: суралбаган кирүү трафиги гана бөгөттөлөт.

Маршрутизатордун WAN баракчасынан баштаңыз

Маршрутизаторго кирип, портту багыттоо тизмесин эмес, абал баракчасын окуңуз. WAN дарегин, ал таандык интерфейсти жана туташуу түрү DHCP, PPPoE же провайдер берген башка нерсе экенин жазып алыңыз. Анан ошол даректи сырткы кызмат билдирген менен салыштырыңыз, уюлдук маалыматтагы телефонду колдонуп, байкоо ошол эле маршрутизатор аркылуу кайра өтпөсүн. Эки сан ар башка суроолорго жооп берет, аларды салыштыруу ушул кадамдын бүткүл максаты.

Байкалган коомдук даректен айырмаланган WAN дареги маршрутизатордун үстүндө жок дегенде бир котормочу бар экенин билдирет. Бул азырынча бузулуу эмес, анткени көп провайдер долбоор боюнча которот жана кызмат ошондон кийин да иштейт. Эгер экөө дал келсе, дарек маршрутизатордуку болушу мүмкүн жана маселе тармагыңыздын ичине өткөн. Кандай болбосун, жупту күнү менен жазыңыз, анткени провайдерлер даректерди кайра бөлүштүрөт жана өткөн айдагы жазуулар менен салыштыруу пайдасыз.

Бир хоп жогору көтөрүлүңүз

Маршрутизатордун өзүнөн traceroute иштетип, алгачкы хопторду окуңуз. Кайталанган коомдук даректер, жеке дарек менен жооп берген биринчи хоп же жалпы 100.64.0.0/10 диапазонундагы дарек баары жогору жактагы котормочуну көрсөтөт. RFC 6598 ушул диапазонду дал ушундай жайылтуу үчүн аныктайт, ошондуктан аны WAN талаасында көрүү кызыгуу эмес, күчтүү белги. Жолдо эки котормочу болсо из азыраак байкалат, ошондуктан бир сапты эмес, үлгүнү окуңуз.

Айрым провайдерлер бөлүнгөн даректи клиент порталында гана көрсөтөт, ошондуктан маршрутизатор калп айтып жатат деген тыянакка келмес мурун ошол жерди караңыз. Портолдогу дарек сырткы байкооңузга дал келип, маршрутизатор башка нерсе билдирсе, бул жогору жактагы котормочунун эң айкын далили. Эки баракты тең өзгөртүүлөр журналына сактаңыз, анткени кайсы чек кимдики деген талаш эки күндүү сүрөт менен алда канча тез бүтөт.

Угуучуну жана багыттоону ырастаңыз

LANдагы сыноо кызматтын жергиликтүү иштешин далилдейт жана сырттан жеткиликтүүлүк боюнча эч нерсе далилдебейт. Көп маршрутизатор өз багыттоо эрежесине ичинен жооп берет, ошондуктан сырткы жол жабык турганда да чач кыпчоо сыноосу ийгиликтүү болот. Демон сиз ойлогон дарек менен портко байланганын ырастап, анан сырттан сынаңыз. Төмөнкүлөрдүн баары окуу үчүн гана.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Эгер сырткы сыноо маршрутизаторго бир да пакет келбей жатканын көрсөтсө, кулоо жогору жакта болгон жана эч бир жергиликтүү эреже аны оңдобойт. Пакеттер келип, эч нерсе жооп бербесе, кийинки чек угуучу же хосттун брандмауэри. Хостто пакетти кармоо экөөнүн кайсынысын көрүп жатканыңызды чечет жана эрежелерди болжолдоонун дагы бир айлампасынан аз убакыт алат. Салыштыруу учурунда угуучу менен анын ташылышын өзгөртпөй кармаңыз, болбосо кийинки сыноо башка суроого жооп берет.

Топологияны өзгөртүңүз, ошол эле эрежени эмес

Котормочу провайдердики болсо, чечим дагы бир багыттоо эмес, башка жол. Коомдук дареги бар кичинекей VPS үй тараптан чыгуучу туннел менен туташса, кызматтын алдына жеткиликтүү акыркы чекит коёт. Провайдер берген коомдук дарек бар жерде жөнөкөй жана машина кармоодон адатта арзан. IPv6 котормону толугу менен жок кылат, бирок кардар тармагы, DNS жазуулары жана брандмауэр саясаты баары аны колдошу керек.

Динамикалык DNS жаңыртат гана атты; ал жеткиликтүүлүктү жаратпайт жана жалпы дарекке багыттоо кардарларды башка жазылуучулар да колдонгон провайдер дарбазасына жиберет. Ошол ийгиликсиздик өлгөн серверге так окшош, ошондуктан мурунку кадамдардын жазуусу маанилүү. Сыноо ийгиликсиз болгондо ат кайсы дарекке чечилгенин жазып, жоопту сыноо жыйынтыгы менен бирге сактаңыз.

Планды өзүңүз көзөмөлдөгөн чектин айланасында кайра жазыңыз: угуучу, туннель жана маршруттар. Эски багыттоону ал дагы эле чындыкты сүрөттөп турганда гана калтырыңыз, анткени топологияга мындан ары туура келбеген эреже эреженин жоктугунан жаман. Кайсы катмар чындап бөгөттөп жатканын жана кайсы далил муну көрсөткөнүн жазыңыз. Болбосо башкаруу баракчасын ачкан кийинки адам бул жүрүштүн ар бир кадамын башынан кайталайт.