CGNAT артындагы VPN сервери эмне үчүн эч качан туташууларды кабыл албайт

Маршрутизатор 100.72 менен башталган WAN дарегин билдирет, динамикалык DNS аты башка коомдук дарекке чечилет, ал эми ошол маршрутизатордогу VPN сервери сырттан кол алышууну эч качан бүтпөйт. Портторду багыттоо конфигурацияланган, кызмат иштеп жатат, ал эми жергиликтүү тармактан сыноо дагы эле өтөт. Маршрутизатор журналында катага окшош эч нерсе көрүнбөйт. Бул айкалыш оператор деңгээлиндеги NAT жана эч бир брандмауэр эрежеси ISP кармаган даректе порт ача албайт.

Жалпы даректи ырастоо эки мүнөт алат жана бир жумалык конфигурация өзгөртүүлөрүн алдын алат.

Оператордун NATына көрсөткөн белгилер

Маршрутизатордун абал баракчасындагы WAN дарегин сырткы суроо билдирген дарек менен салыштырыңыз. 100.64.0.0/10 ичиндеги WAN дареги кадимки белги, ал эми 10/8, 172.16/12 жана 192.168/16 жеке диапазондору ушул эле маанини билдирет. Эгер traceroute бир эле коомдук секирик кайталанып көрсөтсө, же эрте секирик жеке дарек менен жооп берсе, маршрутизатор менен интернеттин ортосунда дагы бир котормочу турат. Кээ бир ISPлер берилген даректи клиент порталында гана көрсөтөт, ошондуктан ал маанини traceroute менен бирге экспорттоңуз.

Протоколдорду же портторду өзгөртүү жардам бербейт, анткени көйгөй жабык портто эмес, кирүүчү жеткиликтүүлүктө.

Эмне үчүн багыттоо жана динамикалык DNS аны оңдой албайт

Портту багыттоо эрежеси маршрутизатордун WAN интерфейсиндеги портту шайкештештирет, бирок кирүүчү трафик бул интерфейске эч качан жетпейт: ISP аны адегенде которуп, өзүнүн таблицасы уруксат бергенди гана жөнөтөт. Жалпы даректи динамикалык DNSте жарыялоо клиенттерди көп абонент колдонгон ISP дарбазасына багыттайт, ошондуктан ат чечилет, ал эми кол алышуу дагы эле ишке ашпайт. Hairpin сыноолору ийгиликтүү болот, анткени маршрутизатор ичинен өз эрежесине жооп берет, ал эми UPnPде дал ушундай сокур так бар.

Клиентти кайра конфигурациялоо да жардам бербейт, анткени ката клиенттин кандайдыр бир параметри окулганга чейин пайда болот.

Ачык маршруттар менен VPS аркылуу реле

Алдыга коомдук дарек коюңуз: трафикти ташып бере алган эң кичине VPSти ижарага алыңыз, анан үй маршрутизаторун ага чыгуучу туташуу жасоого мажбурлаңыз. Үй тармагынан чыккан UDP оператордун NATынан өтөт, ошондуктан туннель ичинен курулат жана VPS жеткиликтүү акыркы чекитке айланат. Үй тарабы туруктуу туннель дареги бар клиентке айланат, серверге эмес.

VPSте клиентке тиешелүү каталог жазуусун кошуңуз, сервер үй кошумча тармагы кайсы өнөктөшкө таандык экенин билсин, жана тиешелүү ядро маршрутун кошуңуз.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

iroute сабы OpenVPN ге үй кошумча тармагынын трафигин кайсы клиент аларын айтат; route сабы ошол кошумча тармакты VPS ядросунун таблицасына салат, пакеттер туннелге такыр кирсин. Жарыяланган кызмат үчүн коомдук портту 10.8.0.10га багыттаган дайындоо NAT эрежесин кошуп, net.ipv4.ip_forward күйгүзүңүз.

Жолду сырттан текшериңиз

Коомдук тараптагы ар бир секирикти текшериңиз, анткени ийгиликтүү туннель кызматтын жеткиликтүү экенин далилдебейт. VPSте угуу абалы жана пакетти кармоо «эч нерсе келген жок» менен «келди жана ташталды» дегенди ажыратат.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Эгер кармоо телефондон пакеттерди көрсөтсө, бирок жооп болбосо, кийинки токтоо — сервер конфигурациясы же брандмауэр. Эгер кармоо эч нерсе көрсөтпөсө, клиент дагы эле чечип жатат же туура эмес дарекке жөнөтүп жатат.

Алгач баасын салыштырууга татыктуу альтернативалар

ISPден бөлүнгөн IPv4 дареги эң кыска чечим жана адатта кичине айлык төлөм. VPN, клиент тармагы жана DNS жазуулары баары колдогондо, жергиликтүү IPv6 эки учурдагы которууну жок кылат. Үй тармагынын ичинде кошумча тармак маршрутизатору бар mesh катмары VPSсиз эле ошол релени камсыздайт, бирок координация кызматына көз карандылыктын баасы менен.

Талап туруктуу кирүүчү жеткиликтүүлүк болсо жана ар бир эреже сиздин көзөмөлүңүздө калышы керек болсо, релени тандаңыз. Бюджет уруксат берсе жана максат жөн гана бул тууралуу ойлонууну токтотуу болсо, ISP дарегин тандаңыз.