Dubults NAT un jūsu VPN: klients darbojas, serveris ne

Jūsu maršrutētājs atrodas aiz cita maršrutētāja, WAN adrese ir privāta, un VPN klients tomēr pieslēdzas. Šī kombinācija pārsteidz tos, kuri gaida, ka dubults NAT salauzīs tuneļus, taču tieši izejošos savienojumus tulkošana apstrādā vislabāk. VPN servera mitināšana aiz tiem pašiem diviem slāņiem ir gadījums, kas parasti neizdodas. Pirms kaut ko mainīt, uzzīmējiet savienojuma virzienu.

Vispirms uzzīmējiet savienojuma virzienu

Atveriet iekšējā maršrutētāja statusa lapu un pierakstiet tā WAN adresi, pēc tam salīdziniet to ar adresi, ko jums ziņo kāds publisks pakalpojums. Ja abas atšķiras, starp jūsu maršrutētāju un internetu ir vismaz viens tulkotājs. Ja WAN adrese ir diapazonā 100.64.0.0/10, ārējais tulkotājs, visticamāk, pieder jūsu pakalpojumu sniedzējam, un jūs to nekontrolējat. Šie divi fakti nosaka, kurš no vēlākajiem soļiem vispār var darboties.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Dubults NAT nav dubults VPN. Tulkošana pārraksta adreses un portus; tā nepievieno otru šifrētu tuneli un neko nešifrē. Šo divu ideju nošķiršana ir svarīga, jo risinājumi ir pilnīgi atšķirīgi, un viens no tiem prasa sarunu ar jūsu pakalpojumu sniedzēju, nevis iestatījumu lapu.

Izejošais virziens: klients jautā, tulkotāji kartē

Izejošais tunelis sākas ar paketi no jūsu mašīnas, tāpēc katrs tulkotājs var izveidot kartējumu un ielaist atbildi atpakaļ. Protokols, ports un dīkstāves taimeri nosaka, vai šis kartējums izdzīvos pietiekami ilgi, lai būtu noderīgs. Lielākā daļa patērētāju maršrutētāju to paveic bez jebkādas konfigurācijas.

Kļūmes, kas patiešām parādās, parasti attiecas uz taimautiem un protokolu atbalstu, nevis uz maršrutētāju skaitu. Tunelis, kas nokrīt pēc dažu minūšu klusuma, ir beidzošs kartējums, un keepalive ir standarta atbilde. IPsec ir standarta NAT-traversal paplašinājumi, tāpēc apgalvojums, ka tas nevar šķērsot tulkošanu, vienkārši ir nepareizs. Ja tunelis nemaz neveidojas, pirms vainot topoloģiju, apskatiet galapunktu un akreditācijas datus.

wg show
ping -c3 10.8.0.1

Apstājieties, ja izejošais tunelis darbojas no viena tīkla, bet no cita ne. Šis salīdzinājums ir par tīkliem, nevis par maršrutētāju skaitu.

Iejošais virziens: pāradresācija aptver tikai jūsu īpašumā esošo aprīkojumu

Servera mitināšana ir pretējais virziens: jauns savienojums nāk no interneta un tam jāsasniedz jūsu mašīna cauri katram slānim. Portu pāradresācijas noteikums iekšējā maršrutētājā palīdz tikai tad, ja ārējais tulkotājs arī nogādā šo trafiku pie jums. Vietējā noteikuma atkārtošana nedod kontroli pār pakalpojumu sniedzēja aprīkojumu.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Salīdziniet iekšējā maršrutētāja WAN adresi ar publisko adresi, ko novērojāt, un pierakstiet, no kurienes nāk katra vērtība. Ja WAN adrese ir privāta vai koplietotajā diapazonā, ārējais slānis veic tulkošanu, ko jūs nevarat konfigurēt. Pirms veltīt visu vakaru noteikumiem, kas nevar stāties spēkā, pajautājiet pakalpojumu sniedzējam, kādu ienākošo sasniedzamību tas atbalsta. Maršrutētāja noņemšana vai ugunsmūra plaša izslēgšana nav diagnoze, un tas ir slikts darījums par vienu atvērtu portu.

Apstājieties, ja ārējais slānis pieder pakalpojumu sniedzējam un tas nepāradresē. Tad atbalstītās atbildes ir cita piekļuves metode vai relejs, nevis vēl viens noteikums jūsu pusē.

Pārbaudiet vienu mainīgo vienlaikus

Mainiet vienu lietu katrā testā un pierakstiet rezultātu, jo dubultā NAT ceļā ir vairāk mainīgo nekā viena maršrutētāja ceļā. Turiet profilu un ierīci fiksētus, pēc tam salīdziniet citu piekļuves tīklu. Ievērojiet, vai sarunas neizdodas, vai sesija nokrīt pēc dīkstāves, vai neizdodas tikai privātie galamērķi. Šie trīs novērojumi norāda uz trim dažādiem slāņiem.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Pārklājošies privātie apakštīkli ir atsevišķas lamatas, ko nekāds tulkošanas apjoms neizlabo. Ja jūsu mājas tīkls un attālais tīkls izmanto vienu un to pašu diapazonu, maršrutu konflikts parādās neatkarīgi no tā, cik tulkotāju ir starpā. Vienas puses pārnumurēšana ir vienīgā ilgtspējīgā atbilde.

Attālā vārteja ir pelnījusi tādu pašu uzmanību, jo tās pāradresācijas noteikumi un atgriešanās maršruti var būt trūkstošā daļa. Tunelis, kas autentificējas, tomēr var būt bez lietojama lietojumprogrammas ceļa, un šī kļūme no klienta puses izskatās identiski. Pastaiga beidzas, kad varat pateikt, kurš virziens neizdodas un kurš slānis par to atbild.