Hairpin-NAT: firwat den VPN-Endpunkt vun dobannen aus feelt

E VPN-Server, deen aus engem Mobilfunknetz äntwert a vum Sofa aus feelt, ass meeschtens kee Zertifikatsproblem. De Client am LAN freet de Router, e Pak z'iwwersetzen, deem säin Zil dem Router seng eege ëffentlech Adress ass, wat heescht, datt de Pak eraus an direkt erëm erakomme muss. Dat Manöver heescht Hairpinning, a vill Routeren implementéieren et entweder guer net oder nëmmen, wann eng Këscht ugeklickt ass. Datt den Test vun dobaussen geléngt, mécht d'Saach verwirrend, well en beweist, datt de Lauschter an d'Weiderleitungsregel an der Rei sinn.

De Pak geet eraus an kënnt erëm eran

Verfollegt de Pak. De Client léist den ëffentlechen Numm op, verbënnt sech mat der ëffentlecher Adress, an dem Router säin Destination-NAT schreift d'Zil op de bannenzege Server ëm. D'Äntwert vum Server ass un d'LAN-Adress vum Client adresséiert, also geet se iwwer dem Router seng LAN-Schnëttstell zréck, ouni jee déi NAT-Regel ze passéieren, déi d'Quell zréck iwwersat hätt.

Elo kritt de Client e Pak vun enger Adress, op déi en ni eppes geschéckt huet, a verwërft en. Dës Asymmetrie ass de ganze Feeler.

RFC 4787 beschreift d'Verhalen, dat een an dësem Fall vun engem NAT erwaart, an déi kuerz Versioun ass, datt et an der Praxis optional ass, och do wou et theoretesch festgeluecht ass. Een Deel Routere nennen d'Astellung NAT loopback, anerer nennen se Hairpin NAT oder NAT reflection, an et gëtt der, déi guer näischt weisen. E Router ouni dës Funktioun ass net falsch konfiguréiert; en mécht dat Gewéinlecht, an d'Korrektur gehéiert soss anzwousch hin. Schléisst aus engem feelgeschloenen lokalen Test net, datt d'ëffentlech Weiderleitungsregel falsch ass.

Prüfung 1: test déi zwou Weeër getrennt

Vun dobaussen aus dem LAN verbënnt dir iech mam selwechte Profil, deen e richtegen Notzer géif benotzen, a bestätegt, datt d'Sessioun entsteet. Vun dobannen verbënnt dir iech mat der ëffentlecher Adress mam selwechte Profil a notéiert de geneeë Feeler an d'Zäit.

En geneeë lokalen Test behält den Hostnumm a ersetzt just d'Adress: curl -v --resolve vpn.example.com:443:203.0.113.10 https://vpn.example.com/ schéckt d'Ufro op déi ëffentlech Adress a presentéiert dobäi nach ëmmer den richtegen Servernumm. Dat trennt e Nummopléisungsproblem vun engem Iwwersetzungsproblem, déi liicht ze verwiesselen sinn, wann deen selwechten Numm aus engem Café funktionéiert. Notéiert, ob de Client beim TCP-Verbindung oder méi spéit bei TLS feelt, well dat éischt op d'Iwwersetzung an dat zweet op d'Identitéit weist.

Prüfung 2: liest, wat de Server gesäit

Déi nëtzlechst Observatioun ass d'Sicht vum Server. Start eng Opnam um VPN-Host, gefiltert op d'LAN-Adress vum Client an op d'LAN-Adress vum Router, a widderhëlt dann de lokalen Versuch. Wann näischt ukommt, huet de Pak d'Iwwersetzung net iwwerlieft.

Wann eng Verbindung vun der LAN-Adress vum Router amplaz vun där vum Client ukommt, geschitt Hairpinning an d'Quell gouf ëmgeschriwwen. Dat ass eng funktionéierend Konfiguratioun, keen Defekt.

Prüfung 3: fléckt et, ouni de baussenzege Wee unzegräifen

Et gëtt dräi ënnerstëtzte Formen, an der Rei vum wuessende Radius. Déi schmëllst ass gespléckt DNS: publizéiert en interne Rekord, sou datt deen selwechten Servernumm fir Clienten am LAN op déi intern Adress opgeléist gëtt, wat de ëffentleche Wee ganz vermeit. Déi nächst ass dem Router seng dokumentéiert Loopback- oder Reflection-Optioun z'aktivéieren, wann et eng gëtt, an se nëmmen op dëse Service unzewennen. Déi breedst ass eng Source-NAT-Regel um Router, déi den Traffic aus dem LAN op de Server ëmschreift, sou datt d'Äntwert iwwer de Router zréckkënnt; op engem Linux-Router ass dat eng MASQUERADE-Regel an POSTROUTING, déi op d'Adress an de Port vum Server passt. All dräi loossen de baussenzege Wee onberéiert, an dat ass d'Eegeschaft, déi et ze erhalen gilt.

Maacht keng onverbonnen Portweiderleitung méi breet, fir de lokale Wee wéi de baussenzegen ausgesi ze loossen, a verschieft de Service net op en anere Port, fir de Problem ëmzeginn. Béid Ännerunge veränneren, wat d'Baussewelt erreeche kann, fir eppes ze flécken, wat nëmmen d'Bannenwelt gesäit.

Gespléckt DNS huet eng Fal, déi et wäert ass ze nennen. En Hostnumm duerch eng arbiträr IP z'ersetzen ännert, wat de Client validéiert, also muss den interne Rekord nach ëmmer mam Numm am Zertifikat passen.

Prüfung 4: iwwerpréift duerno béid Weeër

Widderhëlt de baussenzege Versuch vun dobaussen aus dem LAN, widderhëlt de bannenzege Versuch mam selwechte Profil, a bestätegt, datt de Serverlog zwee getrennt erfollegräich Sessiounen weist an net engem Erfolleg an enger Stëllt. Da préift, ob aner Clienten de Lauschter nach erreechen an ob d'Routen zu private Ressourcen onverännert sinn.

Halt de Rekord kuerz: wéi eng Adress all Client benotzt huet, wat de Server gesinn huet a wéi eng vun den dräi Korrekturen ugewand gouf. D'Hairpinning-Ufuerderunge vun RFC 4787 sinn hei d'Referenz dofir, wat ee vun engem NAT erwaart, an se erklären, firwat e Router ouni d'Funktioun sech normal verhält. E lokale Feeler, deen d'Baussewelt net reproduzéiere kann, ass eng Iwwersetzungsfro, bis d'Géigendeel bewisen ass, also test et als esou.