Heem-VPN-Server net erreechbar: duerch d'NAT-Kette goen

De Server äntwert am LAN, d'Port-Forward-Regel gesäit richteg aus, an trotzdeem kann en externe Client sech net verbannen. Eng Grenz op d'Kéier no baussen ze goen ass méi schnell wéi d'Regel eng véiert Kéier ze änneren, well all Grenz hir eege Beweis hannerléisst: d'WAN-Säit vum Router, d'Iwwersetzung vum Provider an de Lauschterer um Host. Fänkt un der Admin-Säit un, déi Dir schonn op hutt, a schléisst mat engem Test aus engem Netz of, dat Dir net kontrolléiert. Schreift all Resultat ënnerwee op, well d'Reiefolleg d'Diagnos ass an eng gemierkt Zuel kee Beweis ass. Wann Dir just en ausgänglechen Tunnel braucht, ass d'Iwwersetzung net Äre Problem: et gëtt just ongefrotenen agänglechen Trafik gespaart.

Fänkt un der WAN-Säit vum Router un

Loggt Iech um Router an a liest d'Statussäit amplaz vun der Lëscht vun de Port-Forwarden. Notéiert d'WAN-Adress, den Interface zu deem se gehéiert an ob den Typ vun der Verbindung DHCP, PPPoE oder eppes ass, wat de Provider stellt. Da vergläicht där Adress mat deem, wat en externe Service mellt, mat engem Telefon op mobilen Donnéeën, sou datt d'Observatioun net duerch dee selwechte Router zréckkënnt. Déi zwou Zuelen äntweren op verschidde Froe mateneen, an se ze vergläichen ass den ganze Sënn vun dësem Schrëtt.

Eng WAN-Adress, déi sech vun der observéierter ëffentlecher Adress ënnerscheet, heescht, datt op d'mannst een Iwwersetzer iwwer dem Router sëtzt. Dat ass nach kee Feeler, well vill Provideren aus Design iwwersetzen an de Service trotzdeem funktionéiert. Wann déi zwou iwwerenee stëmmen, gehéiert d'Adress warscheinlech dem Router an de Problem ass an Äert Netz geplënnert. Op alle Fall schreift d'Paar mat dem Datum op, well Provideren Adressen nei verginn an e Verglach mat de Notizen vum leschte Mount wäertlos ass.

Gitt een Hop no uewen

Frot en traceroute vum Router selwer a liest déi éischt Hoppen. Widderholl ëffentlech Adressen, en éischten Hop, dee mat enger privater Adress äntwert, oder eng Adress am gedeelten 100.64.0.0/10 Beräich weisen all op en Iwwersetzer uewen. RFC 6598 definéiert dee Beräich just fir esou eng Installatioun, an dofir ass et en staarkt Zeechen an net eng Kuriositéit, et am WAN-Feld ze gesinn. Zwee Iwwersetzer um Wee maachen d'Spuer manner kloer, also liest d'Muster an net eng eenzeg Linn.

Verschidde Provideren weisen déi zougewise Adress just am Clientportal, also kuckt do, ier Dir schléisst, datt de Router lügt. Eng Adress am Portal, déi mat Ärer externer Observatioun iwwerenee stëmmt, während de Router eppes anescht mellt, ass de kloerste Beweis fir en Iwwersetzer uewen. Halt béid Säiten am Ännerungsprotokoll fest, well d'Diskussioun doriwwer, wiem wéi eng Grenz gehéiert, mat zwee datéierte Biller vill méi schnell geet.

Bestätegt de Lauschterer an d'Forward

En Test am LAN beweist, datt de Service lokal funktionéiert, a beweist näischt iwwer d'Erreechbarkeet vun baussen. Vill Routere äntweren hir eegen Forward-Regel vun bannen, sou datt en Hairpin-Test geléngt, während de baussenzege Wee nach zou ass. Bestätegt, datt den Daemon un déi Adress an de Port gebonnen ass, déi Dir unhëlt, an test dann vu baussen. Alles hei drënner ass just zum Liesen.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Wann den externe Test weist, datt kee Paket beim Router ukommt, ass de Verloscht uewen geschitt an eng lokal Regel wäert et net flécken. Wann Paketen ukommen an näischt äntwert, ass de Lauschterer oder d'Firewall vum Host déi nächst Grenz. E Paketfang um Host entscheet, wien vun deenen zwee Dir kuckt, an et kascht manner Zäit wéi nach eng Ronn Regel-Roden. Halt de Lauschterer a säin Transport onverännert, während Dir vergläicht, soss äntwert den nächsten Test op eng aner Fro.

Ännert d'Topologie, net déi selwecht Regel

Wann den Iwwersetzer dem Provider gehéiert, ass d'Léisung en anere Wee an net nach eng Forward. En klengen VPS mat enger ëffentlecher Adress, iwwer en ausgänglechen Tunnel vun der Heemseite verbonnen, setzt en erreechbare Endpunkt virun de Service. Eng ëffentlech Adress vum Provider ass méi einfach, wou et se gëtt, a meeschtens bëlleg wéi eng Maschinn ze bedreiwen. IPv6 hëlt d'Iwwersetzung ganz ewech, wann d'Clientnetz, d'DNS-Records an d'Firewall-Politik all dat ënnerstëtzen.

Dynameschen DNS aktualiséiert just en Numm; en schaaft keng Erreechbarkeet, an en op eng gedeelt Adress ze riichten schéckt Clienten op en Provider-Gateway, deen och aner Abonnenten notzen. Dee Feeler gesäit genee wéi en doudege Server aus, dofir ass de Protokoll vun de fréiere Schrëtt wichteg. Notéiert, op wéi eng Adress den Numm opgeléist gouf, wéi den Test feelgeschloen ass, a halft d'Äntwert beim Testresultat.

Schreift de Plang ëm déi Grenz nei, déi Dir kontrolléiert: de Lauschterer, den Tunnel an d'Routen. Halt déi al Forward just esou laang, wéi se nach eppes Woueres beschreift, well eng Regel, déi net méi zur Topologie passt, ass schlëmmer wéi keng Regel. Halt fest, wéi eng Schicht tatsächlech gespaart huet a wéi ee Beweis dat gewisen huet. Soss widderhëlt déi nächst Persoun, déi d'Admin-Säit opmécht, all Schrëtt vun dësem Wee vun ufanks un.