Firwat e VPN-Server hannert CGNAT ni wiel Konexiounen unhëlt

Eng 100.64-Adress, en dynameschen DNS-Numm, deen soss anzwousch opléist, an et gëtt keen agehenden Handshake: dat ass ee Problem, Carrier-NAT. Confirméiert et an da leet den ausgänglechen Trafic duerch eng Relais.

Den Router mellt eng WAN-Adress, déi mat 100.72 ufänkt, den dynameschen DNS-Numm léist sech op eng aner ëffentlech Adress op, an de VPN-Server op deem Router fäerdeg kee Handshake vun dobaussen. D'Portweiderleeung ass ageriicht, den Déngscht leeft, an en Test aus dem LAN funktionéiert nach. Am Router-Log ass näischt ze gesinn, wat wéi e Feeler ausgesäit. Déi Kombinatioun ass Carrier-Grade NAT, an eng Firewallregele kann en Port op enger Adress opmaachen, déi den ISP hält.

Déi gedeelte Adress ze confirméieren dauert zwou Minutten a verhënnert eng Woch Konfiguratiounsännerungen.

D'Zeeche, déi op Carrier-NAT hiweisen

Vergläicht d'WAN-Adress op der Statussäit vum Router mat der Adress, déi eng extern Oflo mellt. Eng WAN-Adress bannent 100.64.0.0/10 ass dat üblecht Zeechen, an déi privat Beräicher 10/8, 172.16/12 an 192.168/16 bedeiten datselwecht. Wann traceroute dee selwechte ëffentleche Sprong widderhëlt, oder en fréie Sprong mat enger privater Adress äntwert, sëtzt nach en aneren Iwwersetzer tëscht dem Router an dem Internet. E puer ISPen notéieren déi zougewisen Adress nëmmen am Clientportal, dofir exportéiert dee Wäert zesumme mam traceroute.

Protokollen oder Porten ze wiesselen hëlleft net, well de Problem d'agehend Erreechbarkeet ass an net en zouenen Port.

Firwat Weiderleeung an dynameschen DNS dat net kënne behiewen

Eng Portweiderleeungsregel mappt en Port op der WAN-Schnittstell vum Router, awer den agehenden Trafic erreecht dës Schnittstell ni: den ISP iwwersetzt en als éischt a leet nëmmen dat weider, wat seng eege Tabell erlaabt. D'gedeelt Adress am dynameschen DNS ze publizéieren adresséiert d'Clienten op en ISP-Gateway, deen vill Abonnente benotzen, dofir léist den Numm sech op an den Handshake schléit nach ëmmer feel. Hairpin-Tester gelingen, well den Router seng eege Regel vun bannen äntwert, an UPnP huet genee dee selwechte blanne Fleck.

D'Clientkonfiguratioun nei ze maachen hëlleft och net, well de Feeler geschitt, ier eng Clientastellung gelies gëtt.

Relais iwwer en VPS mat explizitte Route

Setzt eng ëffentlech Adress vir an lount den klengste VPS, deen den Trafic kann droen, a loosst dann den Heemrouter dohippes telefonéieren. Ausgänglech UDP aus dem Heemnetz geet duerch Carrier-NAT, dofir baut sech den Tunnel vun bannen op an den VPS gëtt den erreechbaren Endpunkt. D'Heemsäit gëtt en Client mat enger fixer Tunneladress, keen Server.

Op dem VPS, füügt en clientspezifeschen Verzeechnisandrag dobäi, fir datt de Server weess, wéi ee Peer d'Heemsubnetz besëtzt, an ergänzt eng passend Kernelroute.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

D'Linn iroute seet dem OpenVPN, wéi ee Client den Trafic fir d'Heemsubnetz kritt; d'Linn route setzt dëst Subnetz an d'Kerneltabell vum VPS, fir datt Paketen iwwerhaapt an den Tunnel kommen. Fir en publizéierten Déngscht, füügt eng Destinatiouns-NAT-Regel dobäi, déi den ëffentleche Port op 10.8.0.10 weiderleet, an aktivéiert net.ipv4.ip_forward.

Test de Wee vun dobaussen

Iwwerpréift all Sprong op der ëffentlecher Säit, well en erfollegräichen Tunnel net beweist, datt den Déngscht erreechbar ass. Den Nolauschterstatus an d'Paketopnam um VPS trennen 'näischt ukomm' vun 'ukomm an erofgefall'.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Wann d'Opnam Pakete vum Telefon weist, awer keng Äntwert, dann ass déi nächst Statioun d'Serverkonfiguratioun oder d'Firewall. Wann d'Opnam näischt weist, léist de Client nach op oder schéckt op déi falsch Adress.

Alternativen, déi een als éischt sollt präislech bewäerten

Eng dedizéiert IPv4-Adress vum ISP ass déi kierzt Léisung an ass normalerweis eng kleng monatlech Käschte. Native IPv6 hëlt d'Iwwersetzung op béide Säiten ewech, wann de VPN, d'Clientnetz an d'DNS-Andräg et all droen. En Mesh-Overlay mat engem Subnetzrouter am Heemnetz erreecht déiselwecht Weiderleeung ouni VPS, op Käschte vun der Ofhängegkeet vun engem Koordinatiounsdéngscht.

Wielt d'Weiderleeung, wann d'Ufuerderung stabile agehende Zougang ass an all Regel ënner Ärer Kontroll soll bleiwen. Wielt d'ISP-Adress, wann de Budget et erlaabt an d'Zil einfach ass, net méi driwwer nozedenken.

Ähnlech Artikelen