Домашен VPN сервер недостапен: поминете ја NAT-веригата

Серверот одговара на LAN, правилото за пренос на порта изгледа исправно, а сепак надворешен клиент не може да се поврзе. Минувањето по една граница нанадвор е побрзо отколку четврто уредување на правилото, бидејќи секоја граница остава свој доказ: WAN-страницата на рутерот, преводот на провајдерот и слушачот на домаќинот. Започнете од административната страница што веќе ви е отворена и завршете со тест од мрежа што не ја контролирате. Запишете го секој резултат додека одите, бидејќи редоследот е дијагнозата, а запаметен број не е доказ. Ако ви треба само излезен тунел, преводот не е ваш проблем: се блокира само небараниот влезен сообраќај.

Започнете од WAN-страницата на рутерот

Најавете се на рутерот и прочитајте ја страницата со состојба наместо списокот со преноси на порти. Забележете ја WAN-адресата, интерфејсот на кој му припаѓа и дали типот на врска е DHCP, PPPoE или нешто што го обезбедува провајдерот. Потоа споредете ја таа адреса со она што го известува надворешна услуга, користејќи телефон на мобилни податоци за набљудувањето да не се врати низ истиот рутер. Двата броја одговараат на различни прашања, а нивното споредување е целата смисла на овој чекор.

WAN-адреса што се разликува од набљудуваната јавна адреса значи дека барем еден преведувач стои над рутерот. Тоа сѐ уште не е дефект, бидејќи многу провајдери преведуваат по проект и услугата работи понатаму. Ако двете се совпаѓаат, адресата најверојатно е на рутерот и проблемот се преместил внатре во вашата мрежа. Во секој случај запишете го парот со датумот, бидејќи провајдерите прераспределуваат адреси и споредбата со минатомесечните белешки е безвредна.

Качете се еден хоп нагоре

Стартувајте traceroute од самиот рутер и прочитајте ги првите неколку хопови. Повторени јавни адреси, прв хоп што одговара со приватна адреса или адреса во заедничкиот опсег 100.64.0.0/10 сите укажуваат на преведувач погоре. RFC 6598 го дефинира тој опсег токму за ваков распоред, затоа неговото гледање во полето WAN е силен сигнал, а не љубопитност. Два преведувачи на патот ја прават трагата помалку очигледна, па читајте ја шемата, а не една линија.

Некои провајдери ја прикажуваат доделената адреса само во клиентскиот портал, затоа погледнете таму пред да заклучите дека рутерот лаже. Адреса во порталот што се совпаѓа со вашето надворешно набљудување, додека рутерот известува нешто друго, е најјасниот доказ за преведувач погоре. Зачувајте ги двете страници во записот за промени, бидејќи расправата за тоа кому му припаѓа која граница оди многу побрзо со две датирани слики.

Потврдете ги слушачот и преносот

Тестот на LAN докажува дека услугата работи локално и не докажува ништо за достапноста однадвор. Многу рутери одговараат на своето правило за пренос однатре, па тестот со шпионка успева додека надворешниот пат е сѐ уште затворен. Потврдете дека демонот е врзан за адресата и портата што ги претпоставувате, па тестирајте однадвор. Сето подолу е само за читање.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Ако надворешниот тест покаже дека до рутерот не пристигнува ниту еден пакет, отфрлањето се случило погоре и ниту едно локално правило нема да го поправи. Ако пакетите пристигнуваат, а ништо не одговара, следната граница е слушачот или огнениот ѕид на домаќинот. Фаќањето пакети на домаќинот одлучува кое од двете го гледате и трае помалку од уште еден круг погодување правила. Држете ги слушачот и неговиот транспорт непроменети додека споредувате, инаку следниот тест одговара на друго прашање.

Сменете ја топологијата, не истото правило

Кога преведувачот е на провајдерот, решението е друг пат, а не уште еден пренос. Мал VPS со јавна адреса, поврзан со излезен тунел од домашната страна, става достапна крајна точка пред услугата. Јавната адреса што ја дава провајдерот е поедноставна каде што постои и обично поефтина од одржување машина. IPv6 целосно го отстранува преводот, под услов клиентската мрежа, DNS-записите и политиката на огнениот ѕид да го поддржуваат.

Динамичен DNS ажурира само име; тоа не создава достапност, а насочувањето кон заедничка адреса ги праќа клиентите кон порта на провајдерот што ја користат и други претплатници. Тој дефект изгледа точно како мртов сервер, затоа записот од претходните чекори е важен. Забележете на која адреса се решило името кога тестот не успеа и чувајте го одговорот со резултатот од тестот.

Препишете го планот околу границата што ја контролирате: слушачот, тунелот и рутите. Држете го стариот пренос само додека сѐ уште опишува нешто вистинито, бидејќи правило што веќе не одговара на топологијата е полошо од никакво правило. Запишете кој слој навистина блокираше и кој доказ го покажа тоа. Инаку следниот човек што ќе ја отвори административната страница ќе го повтори секој чекор од оваа прошетка од почеток.