ഇരട്ട NAT-ഉം നിങ്ങളുടെ VPN-ഉം: ക്ലയന്റ് പ്രവർത്തിക്കുന്നു, സർവർ ഇല്ല

നിങ്ങളുടെ റൗട്ടർ മറ്റൊരു റൗട്ടറിന് പിന്നിലാണ്, WAN വിലാസം സ്വകാര്യമാണ്, എന്നിട്ടും VPN ക്ലയന്റ് കണക്റ്റ് ചെയ്യുന്നു. ഇരട്ട NAT ടണലുകൾ തകർക്കുമെന്ന് പ്രതീക്ഷിക്കുന്നവർക്ക് ഈ സംയോജനം അത്ഭുതം നൽകുന്നു, എന്നാൽ വിവർത്തനം ഏറ്റവും നന്നായി കൈകാര്യം ചെയ്യുന്നത് പുറത്തേക്കുള്ള കണക്ഷനുകളെയാണ്. അതേ രണ്ട് പാളികൾക്ക് പിന്നിൽ VPN സർവർ ഹോസ്റ്റ് ചെയ്യുന്നതാണ് സാധാരണയായി പരാജയപ്പെടുന്ന സാഹചര്യം. എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് കണക്ഷന്റെ ദിശ വരയ്ക്കുക.

ആദ്യം കണക്ഷന്റെ ദിശ വരയ്ക്കുക

ഉള്ളിലെ റൗട്ടറിന്റെ സ്റ്റാറ്റസ് പേജ് തുറന്ന് അതിന്റെ WAN വിലാസം എഴുതുക, തുടർന്ന് ഒരു പൊതു സേവനം നിങ്ങളോട് പറയുന്ന വിലാസവുമായി താരതമ്യം ചെയ്യുക. രണ്ടും വ്യത്യസ്തമാണെങ്കിൽ, നിങ്ങളുടെ റൗട്ടറിനും ഇന്റർനെറ്റിനും ഇടയിൽ കുറഞ്ഞത് ഒരു വിവർത്തകനെങ്കിലും ഉണ്ട്. WAN വിലാസം 100.64.0.0/10 പരിധിക്കുള്ളിൽ വന്നാൽ, പുറം വിവർത്തകൻ മിക്കവാറും നിങ്ങളുടെ ദാതാവിന്റേതാണ്, നിങ്ങൾ അത് നിയന്ത്രിക്കുന്നില്ല. ഈ രണ്ട് വസ്തുതകളാണ് തുടർന്നുള്ള ഘട്ടങ്ങളിൽ ഏതെങ്കിലും ഒട്ടും പ്രവർത്തിക്കുമോ എന്ന് തീരുമാനിക്കുന്നത്.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

ഇരട്ട NAT എന്നത് ഇരട്ട VPN അല്ല. വിവർത്തനം വിലാസങ്ങളും പോർട്ടുകളും വീണ്ടും എഴുതുന്നു; അത് രണ്ടാമത്തെ എൻക്രിപ്റ്റ് ചെയ്ത ടണൽ ചേർക്കുന്നില്ല, ഒന്നും എൻക്രിപ്റ്റ് ചെയ്യുന്നുമില്ല. ഈ രണ്ട് ആശയങ്ങൾ വേർതിരിച്ചു നിർത്തുന്നത് പ്രധാനമാണ്, കാരണം പരിഹാരങ്ങൾ തികച്ചും വ്യത്യസ്തമാണ്, അവയിലൊന്നിന് സെറ്റിംഗ്സ് പേജിന് പകരം നിങ്ങളുടെ ദാതാവുമായി സംസാരിക്കേണ്ടതുണ്ട്.

പുറത്തേക്ക്: ക്ലയന്റ് ചോദിക്കുന്നു, വിവർത്തകർ മാപ്പ് ചെയ്യുന്നു

പുറത്തേക്കുള്ള ടണൽ നിങ്ങളുടെ മെഷീനിൽ നിന്നുള്ള ഒരു പാക്കറ്റിൽ തുടങ്ങുന്നു, അതിനാൽ ഓരോ വിവർത്തകനും ഒരു മാപ്പിംഗ് സൃഷ്ടിച്ച് മറുപടി അകത്തേക്ക് വരാൻ അനുവദിക്കാം. പ്രോട്ടോക്കോൾ, പോർട്ട്, നിഷ്ക്രിയത്വ ടൈമറുകൾ എന്നിവ ആ മാപ്പിംഗ് ഉപയോഗപ്രദമാകാൻ മതിയായ കാലം നിലനിൽക്കുമോ എന്ന് തീരുമാനിക്കുന്നു. മിക്ക ഉപഭോക്തൃ റൗട്ടറുകളും ഇത് ഒരു കോൺഫിഗറേഷനും കൂടാതെ കൈകാര്യം ചെയ്യുന്നു.

യഥാർത്ഥത്തിൽ കാണുന്ന പരാജയങ്ങൾ സാധാരണയായി സമയപരിധിയും പ്രോട്ടോക്കോൾ പിന്തുണയുമായി ബന്ധപ്പെട്ടതാണ്, റൗട്ടറുകളുടെ എണ്ണവുമായി അല്ല. കുറച്ച് മിനിറ്റ് നിശ്ശബ്ദതയ്ക്ക് ശേഷം വീഴുന്ന ടണൽ കാലഹരണപ്പെടുന്ന മാപ്പിംഗാണ്, keepalive ആണ് സാധാരണ ഉത്തരം. IPsec-ന് സ്റ്റാൻഡേർഡ് NAT-traversal വിപുലീകരണങ്ങളുണ്ട്, അതിനാൽ വിവർത്തനം കടക്കാൻ കഴിയില്ലെന്ന അവകാശവാദം വെറും തെറ്റാണ്. ടണൽ ഒട്ടും സ്ഥാപിക്കപ്പെടുന്നില്ലെങ്കിൽ, ടോപ്പോളജിയെ കുറ്റപ്പെടുത്തുന്നതിന് മുമ്പ് എൻഡ്പോയിന്റും ക്രെഡൻഷ്യലുകളും പരിശോധിക്കുക.

wg show
ping -c3 10.8.0.1

പുറത്തേക്കുള്ള ടണൽ ഒരു നെറ്റ്വർക്കിൽ നിന്ന് പ്രവർത്തിക്കുകയും മറ്റൊന്നിൽ നിന്ന് പ്രവർത്തിക്കാതിരിക്കുകയും ചെയ്താൽ നിർത്തുക. ആ താരതമ്യം നെറ്റ്വർക്കുകളെക്കുറിച്ചാണ്, റൗട്ടറുകളുടെ എണ്ണത്തെക്കുറിച്ചല്ല.

അകത്തേക്ക്: ഫോർവേഡിംഗ് നിങ്ങളുടെ ഉടമസ്ഥതയിലുള്ള ഉപകരണങ്ങളെ മാത്രം ഉൾക്കൊള്ളുന്നു

സർവർ ഹോസ്റ്റ് ചെയ്യുന്നത് എതിർദിശയാണ്: ഇന്റർനെറ്റിൽ നിന്ന് പുതിയ ഒരു കണക്ഷൻ വരുന്നു, ഓരോ പാളിയിലൂടെയും കടന്ന് നിങ്ങളുടെ മെഷീനിൽ എത്തണം. ഉള്ളിലെ റൗട്ടറിലെ പോർട്ട്-ഫോർവേഡിംഗ് നിയമം സഹായിക്കുന്നത് പുറം വിവർത്തകനും ആ ട്രാഫിക് നിങ്ങളിലേക്ക് എത്തിക്കുമ്പോൾ മാത്രമാണ്. പ്രാദേശിക നിയമം ആവർത്തിക്കുന്നത് ദാതാവിന്റെ ഉപകരണങ്ങളിന്മേൽ നിയന്ത്രണം നൽകുന്നില്ല.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

ഉള്ളിലെ റൗട്ടറിന്റെ WAN വിലാസം നിങ്ങൾ നിരീക്ഷിച്ച പൊതു വിലാസവുമായി താരതമ്യം ചെയ്ത് ഓരോ മൂല്യവും എവിടെ നിന്ന് വന്നു എന്ന് എഴുതുക. WAN വിലാസം സ്വകാര്യമാണെങ്കിൽ അല്ലെങ്കിൽ പങ്കിട്ട പരിധിയിലാണെങ്കിൽ, പുറം പാളി നിങ്ങൾക്ക് കോൺഫിഗർ ചെയ്യാൻ കഴിയാത്ത ഒരു വിവർത്തനം ചെയ്യുന്നു. പ്രാബല്യത്തിൽ വരാൻ കഴിയാത്ത നിയമങ്ങൾക്കായി ഒരു വൈകുന്നേരം മുഴുവൻ ചെലവഴിക്കുന്നതിന് മുമ്പ് ഏത് അകത്തേക്കുള്ള എത്തിച്ചേരൽ ദാതാവ് പിന്തുണയ്ക്കുന്നു എന്ന് ചോദിക്കുക. റൗട്ടർ നീക്കം ചെയ്യുന്നതോ ഫയർവാൾ വ്യാപകമായി അണയ്ക്കുന്നതോ രോഗനിർണയമല്ല, ഒരു തുറന്ന പോർട്ടിന് അത് മോശം കൈമാറ്റമാണ്.

പുറം പാളി ദാതാവിന്റേതാണെങ്കിൽ അത് ഫോർവേഡ് ചെയ്യുന്നില്ലെങ്കിൽ നിർത്തുക. അപ്പോൾ പിന്തുണയ്ക്കുന്ന ഉത്തരങ്ങൾ മറ്റൊരു ആക്സസ് രീതിയോ റിലേയോ ആണ്, നിങ്ങളുടെ ഭാഗത്ത് മറ്റൊരു നിയമമല്ല.

ഒരു സമയത്ത് ഒരു ചരം മാത്രം പരീക്ഷിക്കുക

ഓരോ പരീക്ഷണത്തിലും ഒരു കാര്യം മാറ്റി ഫലം രേഖപ്പെടുത്തുക, കാരണം ഇരട്ട NAT പാതയിൽ ഒറ്റ റൗട്ടർ പാതയേക്കാൾ കൂടുതൽ ചരങ്ങളുണ്ട്. പ്രൊഫൈലും ഉപകരണവും സ്ഥിരമായി നിർത്തി, പിന്നീട് മറ്റൊരു ആക്സസ് നെറ്റ്വർക്കുമായി താരതമ്യം ചെയ്യുക. ചർച്ചകൾ പരാജയപ്പെടുന്നുണ്ടോ, നിഷ്ക്രിയതയ്ക്ക് ശേഷം സെഷൻ വീഴുന്നുണ്ടോ, അതോ സ്വകാര്യ ലക്ഷ്യസ്ഥാനങ്ങൾ മാത്രം പരാജയപ്പെടുന്നുണ്ടോ എന്ന് ശ്രദ്ധിക്കുക. ആ മൂന്ന് നിരീക്ഷണങ്ങൾ മൂന്ന് വ്യത്യസ്ത പാളികളെ സൂചിപ്പിക്കുന്നു.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

ഓവർലാപ്പ് ചെയ്യുന്ന സ്വകാര്യ സബ്നെറ്റുകൾ വേറിട്ട ഒരു കെണിയാണ്, ഏത്ര വിവർത്തനം കൊണ്ടും അത് ശരിയാക്കാനാവില്ല. നിങ്ങളുടെ വീട്ടിലെ നെറ്റ്വർക്കും വിദൂര നെറ്റ്വർക്കും ഒരേ പരിധി ഉപയോഗിക്കുന്നുവെങ്കിൽ, ഇടയിൽ എത്ര വിവർത്തകരുണ്ടായാലും റൂട്ട് സംഘർഷം പ്രത്യക്ഷപ്പെടും. ഒരു വശം വീണ്ടും അക്കമിടുന്നതാണ് ഏക ശാശ്വത ഉത്തരം.

വിദൂര ഗേറ്റ്വേയും അത്രതന്നെ ശ്രദ്ധ അർഹിക്കുന്നു, കാരണം അതിന്റെ ഫോർവേഡിംഗ് നിയമങ്ങളും മടക്ക പാതകളും കാണാത്ത കഷണമായിരിക്കാം. പ്രാമാണീകരണം കടക്കുന്ന ടണലിനും ഉപയോഗയോഗ്യമായ ആപ്ലിക്കേഷൻ പാത ഇല്ലായിരിക്കാം, ആ പരാജയം ക്ലയന്റ് ഭാഗത്ത് നിന്ന് ഒരേപോലെ കാണപ്പെടുന്നു. ഏത് ദിശ പരാജയപ്പെടുന്നു, ഏത് പാളി അതിന്റെ ഉടമയാണ് എന്ന് നിങ്ങൾക്ക് പറയാൻ കഴിയുമ്പോൾ ഈ യാത്ര അവസാനിക്കുന്നു.