Symmetreschen NAT a VPN: moosst d’Mapping, net d’Etikett

En Support-Thread endt mam Verdikt „symmetreschen NAT, de VPN wäert hei net funktionéieren“, an duerno gëtt de Client dräimol ouni Grond nei installéiert. D’Etikett mécht Schued, well et eng Fro beäntwert, déi keen gestallt huet. E Client, dee sech no bausse mat engem fixe Server verbënnt, erstellt eng Mapping an deem Moment, wou en dat éischt Pak schéckt, an d’Äntwert däerf zréck, no Reegele wu bal all Netzwierk ëmsetzt. Wat Mapping déi vum Endpunkt ofhängt wierklech komplizéiert, sinn zwee Peers, déi gläichzäiteg probéieren, sech z’erreechen, an dat ass en aneren Test.

Zwou Froe verstoppe sech hannert enger Etikett

Déi éischt Fro ass, ob en Host hannert dësem Netzwierk eng Sitzung zu enger bekannter ëffentlecher Adress an engem Port opmaache kann. Fir e Tunnel-Client ass dat de normale Fall, an d’Äntwert ass bal ëmmer jo. Den Router registréiert d’intern Quell, vergëtt en externe Port a léisst d’Äntwert duerch, well se zu enger Sitzung gehéiert, déi vun banne ugefaang huet.

Déi zweet Fro ass, ob zwee Hosts hannert verschiddenen Netzwierker ee gemeinsame Wee fanne kënnen a sech géigesäiteg schécke kënnen ouni en Server an der Mëtt. Dat hänkt dovu of, wéi all Netzwierk déi extern Porte vergëtt, an dat ass déi eenzeg Plaz, wou d’Verhalen vun der Mapping wichteg ass.

Béides ze verwiessele bréngt déi klassesch falsch Diagnos: eng Peer-zu-Peer-Funktioun feelt, een deet en NAT-Typ-Test lafen, gesäit déi schlechtst Kategorie a schléisst doraus, datt den normale Tunnel och net ka funktionéieren. Den Tunnel war ni dat, wat gefeelt huet.

Mapping a Filterung sinn zwou getrennte Eegenschaften

D’Terminologie vum RFC ass méi präzis wéi d’Nimm, déi d’Hiersteller benotzen, an et lount sech, se an den Ticket ze huelen, well se Diskussiounen entscheet. Mapping ass, wéi den externen Port vergëtt gëtt. Filterung ass, wéi eng agehend Paken duerchgelooss ginn. En Netzwierk ka streng an deem een an liberal an deem anere sinn, an déi Kombinatioun ass dat, wat e Peer-zu-Peer-Protokoll muss iwwerliewen.

Déi drëtt Zeil ass dat, wat déi meescht Konsumenter-Router a Mobilfunkbedreiwer mam Wuert symmetresch mengen. Notéiert, datt d’Etikett nëmmen d’Vergëtt beschreift. En Netzwierk mat där Mapping a liberaler Filterung kann nach ëmmer agehend Paken op de Port unhuelen, deen et just vergëtt huet, an dofir geléngt d’Lachbueren op e puer dovun an op aneren net.

D’Filterung huet hir eege dräi Fäll an hiren eegen Numm fir jiddereen. „symmetreschen NAT“ an en Ticket schreiwen, wann ee „Filterung déi vun Adress a Port ofhängt“ mengt, schéckt déi nächst Persoun an dat falscht Kapitel vum Handbuch. Déi zwou verhale sech am Test ënnerschiddlech, also ass de Feeler net akademesch.

Moosst d’Mapping amplaz se ze benennen

Dir kënnt de vergëttene Port direkt vun der Serversäit vun all UDP-Service observéieren, deen Dir kontrolléiert. Start eng Opnam um ëffentlechen Host, schéckt vum Client a liest de Quellport, mat deem d’Pak ukomm ass:

sudo tcpdump -ni eth0 -c 10 'udp port 51820'
sudo wg show wg0 endpoints
sudo conntrack -L -p udp --dport 51820

D’Endpunkt-Zeil ass déi nëtzlechst vun den dräi, well WireGuard déi lescht Adress an de leschte Port registréiert, déi et vun all Peer kritt huet. Vergläicht dee Port mat deem, deen de Client mengt ze benotzen. Se wäerten ëmmer ënnerschiddlech sinn, wann eng Iwwersetzung geschitt, an déi wichteg Fro ass, ob de Wäert stabil bleift.

Widderhuelt d’Observatioun géint en zweeten Destinatiounsport oder en zweeten Server a vergläicht nach eng Kéier. Wann den externen Port sech pro Destinatioun ännert, hänkt d’Mapping vun Adress a Port of. Wann en d’selwecht bleift, gëtt d’Netzwierk Iech eng eenzeg Mapping a lauschtert d’Entdeckung eng Chance.

STUN-baséiert Tools mellen déiselwecht Klassifikatioun an engem Schrëtt, an se kënnen agesat ginn, wann d’Netzwierk ausgänglech UDP op en ëffentlechen STUN-Server erlaabt. Wann net, funktionéiert déi uewe beschriwwen Opnamemethod nach ëmmer an erfuerdert näischt ausser engem Host, deen Dir schonn kontrolléiert.

Wielt eng Léisung déi zum Feeler passt

Wann d’Funktioun déi feelt Peer-zu-Peer ass, sinn déi ënnerstëtzt Äntwerten eng Relay, en Treffpunkt-Service, deen déi zwou Peers erreeche kënnen, oder eng aner Topologie. TURN existéiert genau dofir, an e Produkt, dat seng eege Relay matbréngt, seet Iech, datt et erwaart, datt e puer Netzwierker feindlech sinn.

Wann d’Funktioun déi feelt en normale Tunnel ass, ass d’Verhalen vun der Mapping net Äre Problem an näischt vun uewen gëllt. Iwwerpréift, datt de Client tatsächlech schéckt, datt de Server d’Pak gesäit an datt d’Äntwert zréckkënnt. Déi Rei sinn dräi Observatiounen an se erfuerdert näischt iwwer d’NAT-Kategorie vum Router ze wëssen.

Wat net funktionéiert, ass lokal Portännerungen ze verspreeden, bis eppes sech verbënnt. De Quellport vum Client z’änneren ännert net, wéi d’Netzwierk Mappings vergëtt. En zoufällege Succès beim fënneften Versuch ass e falscht Positiv, an et gëtt Méint laang als Léisung zitéiert.

Registréiert d’Architektur, net de Verdikt

Eng nëtzlech Notiz seet, wéi e Protokoll, a wéi eng Richtung d’Sitzung ufänkt, ob eng Relay am Wee ass a wat um Kabel observéiert gouf. „symmetreschen NAT, funktionéiert net“ ass onbrauchbar, well et gläichzäiteg falsch iwwer den Tunnel an net informativ iwwer de Wee vum Peer ass.

Huelt d’gemoosst Portstabilitéit an d’Filterverhalen op, wann Dir se getest hutt. Déi zwou Fakten erlaben et engem aneren ze prévisiounen, ob eng nei Funktioun op deem Netzwierk funktionéiert, ouni déi ganz Enquête ze widderhuelen. Se altern och besser wéi eng Hiersteller-Kategorie, déi op all Hëllefssäit eppes liicht anescht bedeit.

Halt schliisslech d’Terminologie vum RFC 4787 zur Hand, wann Dir dat opschreift. Déi präzis Begrëffer ze benotzen kascht een Saz a verhënnert, datt den nächsten Lieser déiselwecht falsch Diagnos widderhëlt, an dat ass den ganzen Zweck vun der Notiz.