Mājas VPN serveris nav sasniedzams: izstaigājiet NAT ķēdi

Serveris atbild LAN tīklā, porta pāradresācijas noteikums izskatās pareizs, un tomēr ārējais klients nevar pieslēgties. Virzīties pa vienai robežai uz āru ir ātrāk nekā ceturto reizi labot noteikumu, jo katra robeža atstāj savu pierādījumu: maršrutētāja WAN lapa, pakalpojumu sniedzēja tulkojums un klausītājs uz saimnieka. Sāciet ar administrācijas lapu, kas jau ir atvērta, un beidziet ar testu no tīkla, kuru necontrolējat. Pierakstiet katru rezultātu gaitā, jo secība ir diagnoze un atcerēts skaitlis nav pierādījums. Ja jums vajag tikai izejošo tuneli, tulkošana nav jūsu problēma: tiek bloķēta tikai nepieprasītā ienākošā plūsma.

Sāciet ar maršrutētāja WAN lapu

Piesakieties maršrutētājā un lasiet statusa lapu, nevis portu pāradresācijas sarakstu. Pierakstiet WAN adresi, saskarni, kurai tā pieder, un vai savienojuma tips ir DHCP, PPPoE vai kaut kas cits, ko nodrošina pakalpojumu sniedzējs. Pēc tam salīdziniet šo adresi ar to, ko ziņo ārējs pakalpojums, izmantojot telefonu ar mobilajiem datiem, lai novērojums neatgrieztos pa to pašu maršrutētāju. Divi skaitļi atbild uz dažādiem jautājumiem, un to salīdzināšana ir visa šī soļa jēga.

WAN adrese, kas atšķiras no novērotās publiskās adreses, nozīmē, ka virs maršrutētāja ir vismaz viens tulkotājs. Tas vēl nav bojājums, jo daudzi pakalpojumu sniedzēji tulko pēc projektā un pakalpojums joprojām darbojas. Ja abi sakrīt, adrese, visticamāk, pieder maršrutētājam un problēma ir pārcēlusies jūsu tīkla iekšienē. Jebkurā gadījumā pierakstiet pāri ar datumu, jo pakalpojumu sniedzēji pārdala adreses un salīdzinājums ar pagājušā mēneša piezīmēm ir bezjēdzīgs.

Pacelieties vienu lēcienu uz augšu

Palaidiet traceroute no paša maršrutētāja un izlasiet pirmos lēcienus. Atkārtotas publiskās adreses, pirmais lēciens, kas atbild ar privātu adresi, vai adrese koplietotajā 100.64.0.0/10 diapazonā visas norāda uz tulkotāju augstāk. RFC 6598 definē šo diapazonu tieši šādai ieviešanai, tāpēc tā redzēšana WAN laukā ir spēcīgs signāls, nevis ziņkārība. Divi tulkotāji ceļā padara pēdas mazāk acīmredzamas, tāpēc lasiet modeli, nevis vienu rindu.

Daži pakalpojumu sniedzēji piešķirto adresi rāda tikai klienta portālā, tāpēc paskatieties tur, pirms secināt, ka maršrutētājs melo. Portāla adrese, kas sakrīt ar jūsu ārējo novērojumu, kamēr maršrutētājs ziņo ko citu, ir visskaidrākais tulkotāja augstāk pierādījums. Saglabājiet abas lapas izmaiņu žurnālā, jo strīds par to, kam pieder kura robeža, norit daudz ātrāk ar diviem datētiem attēliem.

Apstipriniet klausītāju un pāradresāciju

Tests LAN tīklā pierāda, ka pakalpojums darbojas lokāli, un nepierāda neko par sasniedzamību no ārpuses. Daudzi maršrutētāji atbild uz savu pāradresācijas noteikumu no iekšpuses, tāpēc matadatas tests izdodas, kamēr ārējais ceļš vēl ir slēgts. Apstipriniet, ka dēmons ir piesaistīts adresei un portam, ko pieņemat, un pēc tam testējiet no ārpuses. Viss zemāk ir tikai lasīšanai.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Ja ārējais tests rāda, ka pie maršrutētāja nenonāk neviens pakets, zudums noticis augstāk un neviens vietējais noteikums to nelabos. Ja paketi pienāk un nekas neatbild, nākamā robeža ir klausītājs vai saimnieka ugunsmūris. Pakešu uztveršana uz saimnieka nosaka, kuru no diviem jūs skatāties, un tas prasa mazāk laika nekā vēl viens noteikumu minēšanas aplis. Salīdzināšanas laikā atstājiet klausītāju un tā transportu nemainītus, citādi nākamais tests atbildēs uz citu jautājumu.

Mainiet topoloģiju, nevis to pašu noteikumu

Kad tulkotājs pieder pakalpojumu sniedzējam, risinājums ir cits ceļš, nevis vēl viena pāradresācija. Neliels VPS ar publisku adresi, savienots ar izejošo tuneli no mājas puses, pakalpojuma priekšā liek sasniedzamu galapunktu. Pakalpojumu sniedzēja nodrošināta publiskā adrese ir vienkāršāka tur, kur tā pastāv, un parasti lētāka nekā mašīnas uzturēšana. IPv6 pilnībā novērš tulkošanu, ja klienta tīkls, DNS ieraksti un ugunsmūra politika to visu atbalsta.

Dinamiskais DNS atjaunina tikai vārdu; tas nerada sasniedzamību, un norādīšana uz koplietotu adresi sūta klientus uz pakalpojumu sniedzēja vārteju, ko izmanto arī citi abonenti. Šī kļūme izskatās tieši kā miris serveris, tāpēc svarīgs ir iepriekšējo soļu pieraksts. Pierakstiet, uz kādu adresi vārds tika atrisināts, kad tests neizdevās, un glabājiet atbildi kopā ar testa rezultātu.

Pārrakstiet plānu ap robežu, kuru kontrolējat: klausītāju, tuneli un maršrutus. Turiet veco pāradresāciju tikai tad, kamēr tā vēl apraksta kaut ko patiesu, jo noteikums, kas vairs neatbilst topoloģijai, ir sliktāks par noteikuma neesamību. Pierakstiet, kurš slānis patiešām bloķēja un kāds pierādījums to parādīja. Citādi nākamais cilvēks, kas atvērs administrācijas lapu, atkārtos katru šī ceļa soli no sākuma.