Duebel NAT an Ären VPN: de Client funktionéiert, den Server net

Ären Router steet hannert engem aneren Router, d'WAN-Adress ass privat, an de VPN-Client verbënnt sech trotzdem. Dës Kombinatioun iwwerrascht Leit, déi erwaarden, datt duebelt NAT d'Tunnelen zerbriecht, awer just déi ausgehend Verbindungen handelt d'Iwwersetzung am beschten. En VPN-Server hannert deene selwechten zwou Schichten ze hosten ass de Fall, deen normalerweis feelgeet. Zeechent d'Richtung vun der Verbindung, ier Dir eppes ännert.

Zeechent fir d'éischt d'Richtung vun der Verbindung

Maacht d'Statussäit vum banneschten Router op a schreift seng WAN-Adress op, vergläicht se dann mat der Adress, déi Iech eng ëffentlech Servicer mellt. Wann déi zwou ënnerschiddlech sinn, steet op d'mannst een Iwwersetzer tëscht Ärem Router an dem Internet. Wann d'WAN-Adress an 100.64.0.0/10 fält, gehéiert den baussenzegen Iwwersetzer wahrscheinlech Ärem Fournisseur, an Dir kontrolléiert en net. Dës zwou Tatsaachen entscheeden, wéi eng vun de spéidere Schrëtt iwwerhaapt ka funktionéieren.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Duebelt NAT ass net duebel VPN. D'Iwwersetzung schreift Adressen a Porten ëm; se füügt keen zweeten verschlësselten Tunnel derbäi, a se verschlësselt näischt. Déi zwou Iddien auserneenzehalen ass wichteg, well d'Léisunge komplett verschidde sinn, an eng dovun eng Diskussioun mat Ärem Fournisseur erfuerdert amplaz enger Astellungssäit.

Ausgehend: de Client freet, d'Iwwersetzer mappen

En ausgehenden Tunnel fänkt mat engem Paket vun Ärer Maschinn un, dofir kann all Iwwersetzer eng Mapping uleeën an d'Äntwert erëm eraloossen. De Protokoll, de Port an d'Idle-Timere bestëmmen, ob déi Mapping laang genuch iwwerlieft, fir nëtzlech ze sinn. Déi meescht Konsumenterouteren erledegen dat ganz ouni Konfiguratioun.

D'Feeler, déi tatsächlech optrieden, betreffen normalerweis Timeouts a Protokollënnergrëffung an net d'Zuel vun de Routeren. En Tunnel, deen no e puer Minutten Stëllheet fällt, ass eng Mapping, déi ofleeft, an e Keepalive ass déi üblech Äntwert. IPsec huet standard NAT-Traversal-Erweiderungen, dofir ass d'Behaaptung, et kéint keng Iwwersetzung iwwerqueren, einfach falsch. Wann den Tunnel guer net zustane kënnt, kuckt op den Endpunkt an d'Zougangsdaten, ier Dir d'Topologie beschëllegt.

wg show
ping -c3 10.8.0.1

Stoppt, wann den ausgehenden Tunnel aus engem Netz funktionéiert an aus engem aneren net. Dee Verglach geet ëm d'Netzwierker, net ëm d'Zuel vun de Routeren.

Agéing: d'Weiderleitung deckt nëmmen d'Ausrüstung of, déi Dir besëtzt

En Server ze hosten ass déi entgéintgesat Richtung: eng nei Verbindung kënnt aus dem Internet an muss Är Maschinn duerch all Schicht erreechen. Eng Portweiderleitungsregel um banneschten Router hëlleft nëmmen, wann den baussenzegen Iwwersetzer dee Verkéier och bei Iech bréngt. D'lokal Regel widderhuelen gëtt Iech keng Kontroll iwwer d'Ausrüstung vum Fournisseur.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Vergläicht d'WAN-Adress vum banneschten Router mat der ëffentlecher Adress, déi Dir observéiert hutt, a notéiert, wou all Wäert hierkënnt. Wann d'WAN-Adress privat ass oder am gedeelte Beräich läit, mécht déi baussenzeg Schicht eng Iwwersetzung, déi Dir net konfiguréiere kënnt. Frot de Fournisseur, wéi eng agéing Erreechbarkeet en ënnerstëtzt, ier Dir en Owend mat Regele verbréngt, déi net kënnen a Kraaft trieden. En Router ewechhuelen oder eng Firewall breet ausschalten ass keng Diagnos, an et ass en schlechten Tausch fir een oppene Port.

Stoppt, wann déi baussenzeg Schicht dem Fournisseur gehéiert an en net weiderleet. Dann sinn déi ënnerstëtzt Äntwerten eng aner Zougangsmethod oder en Relay, net nach eng Regel op Ärer Säit.

Testt eng Variabel op eemol

Ännert eng Saach pro Test a notéiert d'Resultat, well en Duebel-NAT-Wee méi Variabelen huet wéi en Een-Router-Wee. Halt de Profil an d'Apparat fest a vergläicht duerno en aneren Zougangsnetzwierk. Notéiert, ob d'Verhandlung feelgeet, ob d'Sitzung no Idle fällt oder ob nëmmen privat Destinatiounen feelgeen. Déi dräi Observatioune weisen op dräi verschidde Schichten.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Iwwerlappend privat Subnetzer sinn eng separat Fal, déi keng Quantitéit Iwwersetzung reparéiert. Wann Ären Heemnetzwierk an dat wäit ewech Netzwierk dee selwechte Beräich benotzen, da kënnt e Routenkonflikt op, egal wéi vill Iwwersetzer tëschent sinn. Eng Säit nei ze nummeréieren ass déi eenzeg dauerhaft Äntwert.

De wäite Gateway verdéngt déiselwecht Opmierksamkeet, well seng Weiderleitungsregele a Retourrouten dat feelend Deel kënne sinn. En Tunnel, deen authentifizéiert, kann nach ëmmer kee brauchbare Applikatiounswee hunn, an dee Feeler gesäit vun der Clientssäit identesch aus. De Parcours endet, wann Dir kënnt soen, wéi eng Richtung feelgeet a wéi eng Schicht dofir zoustänneg ass.