CGNAT-ന് പിന്നിലെ VPN സെർവർ ഒരിക്കലും കണക്ഷനുകൾ സ്വീകരിക്കാത്തത് എന്തുകൊണ്ട്

റൗട്ടർ 100.72-ൽ തുടങ്ങുന്ന WAN വിലാസം റിപ്പോർട്ട് ചെയ്യുന്നു, ഡൈനാമിക് DNS നാമം മറ്റൊരു പൊതു വിലാസത്തിലേക്ക് പരിഹരിക്കുന്നു, ആ റൗട്ടറിലെ VPN സെർവർ പുറത്തുനിന്ന് ഒരിക്കലും ഹാൻഡ്‌ഷേക്ക് പൂർത്തിയാക്കുന്നില്ല. പോർട്ട് ഫോർവേഡിംഗ് കോൺഫിഗർ ചെയ്തിട്ടുണ്ട്, സേവനം പ്രവർത്തിക്കുന്നു, LAN-ൽ നിന്നുള്ള പരിശോധന ഇപ്പോഴും ഫലിക്കുന്നു. റൗട്ടർ ലോഗിൽ പിശകിന് സമാനമായി ഒന്നും കാണുന്നില്ല. ആ സംയോജനം കാരിയർ-ഗ്രേഡ് NAT ആണ്, ISP കൈവശം വയ്ക്കുന്ന വിലാസത്തിൽ ഏതെങ്കിലും ഫയർവാൾ നിയമത്തിന് പോർട്ട് തുറക്കാനാവില്ല.

പങ്കിട്ട വിലാസം സ്ഥിരീകരിക്കാൻ രണ്ട് മിനിറ്റ് എടുക്കും, ഒരു ആഴ്ചയിലെ കോൺഫിഗറേഷൻ മാറ്റങ്ങൾ ഒഴിവാക്കാം.

കാരിയർ NAT-ലേക്ക് വിരൽ ചൂണ്ടുന്ന സൂചനകൾ

റൗട്ടറിന്റെ സ്റ്റാറ്റസ് പേജിലെ WAN വിലാസം ബാഹ്യ ലുക്കപ്പ് റിപ്പോർട്ട് ചെയ്യുന്ന വിലാസവുമായി താരതമ്യപ്പെടുത്തുക. 100.64.0.0/10-നുള്ളിലെ WAN വിലാസം സാധാരണ സൂചനയാണ്, സ്വകാര്യ ശ്രേണികളായ 10/8, 172.16/12, 192.168/16 എന്നിവയും അതേ അർത്ഥം നൽകുന്നു. traceroute ഒരേ പൊതു ഹോപ്പ് ആവർത്തിച്ച് കാണിക്കുകയോ ആദ്യകാല ഹോപ്പ് സ്വകാര്യ വിലാസത്തിൽ പ്രതികരിക്കുകയോ ചെയ്താൽ, റൗട്ടറിനും ഇന്റർനെറ്റിനും ഇടയിൽ മറ്റൊരു വിവർത്തകനുണ്ട്. ചില ISP-കൾ അനുവദിച്ച വിലാസം കസ്റ്റമർ പോർട്ടലിൽ മാത്രം ലിസ്റ്റ് ചെയ്യുന്നു, അതിനാൽ ആ മൂല്യം traceroute-നൊപ്പം കയറ്റുമതി ചെയ്യുക.

പ്രോട്ടോക്കോളുകളോ പോർട്ടുകളോ മാറ്റുന്നത് സഹായിക്കില്ല, കാരണം പ്രശ്നം അടച്ച പോർട്ടല്ല, ഇൻബൗണ്ട് എത്തിച്ചേരൽ കഴിവാണ്.

ഫോർവേഡിംഗിനും ഡൈനാമിക് DNS-നും ഇത് പരിഹരിക്കാനാകാത്തത് എന്തുകൊണ്ട്

പോർട്ട്-ഫോർവേഡ് നിയമം റൗട്ടറിന്റെ WAN ഇന്റർഫേസിലെ പോർട്ട് മാപ്പ് ചെയ്യുന്നു, പക്ഷേ ഇൻബൗണ്ട് ട്രാഫിക് ആ ഇന്റർഫേസിൽ ഒരിക്കലും എത്തുന്നില്ല: ISP ആദ്യം അത് വിവർത്തനം ചെയ്ത് സ്വന്തം പട്ടിക അനുവദിക്കുന്നത് മാത്രം ഫോർവേഡ് ചെയ്യുന്നു. പങ്കിട്ട വിലാസം ഡൈനാമിക് DNS-ൽ പ്രസിദ്ധീകരിക്കുന്നത് ഉപഭോക്താക്കളെ ധാരാളം സബ്സ്ക്രൈബർമാർ ഉപയോഗിക്കുന്ന ISP ഗേറ്റ്‌വേയിലേക്ക് തിരിച്ചുവിടുന്നു, അതിനാൽ നാമം പരിഹരിക്കപ്പെടുന്നു, എന്നാൽ ഹാൻഡ്‌ഷേക്ക് പരാജയപ്പെടുന്നു. ഹെയർപിൻ പരിശോധനകൾ വിജയിക്കുന്നത് റൗട്ടർ അകത്തുനിന്ന് സ്വന്തം നിയമത്തിന് ഉത്തരം നൽകുന്നതുകൊണ്ടാണ്, UPnP-ക്കും അതേ അന്ധമായ പുള്ളിയുണ്ട്.

ക്ലയന്റ് വീണ്ടും കോൺഫിഗർ ചെയ്യുന്നതും സഹായിക്കില്ല, കാരണം പരാജയം ഏതെങ്കിലും ക്ലയന്റ് ക്രമീകരണം വായിക്കുന്നതിന് മുമ്പ് സംഭവിക്കുന്നു.

വ്യക്തമായ റൂട്ടുകളുള്ള VPS വഴി റിലേ

മുന്നിൽ ഒരു പൊതു വിലാസം വയ്ക്കുക: ട്രാഫിക് വഹിക്കാൻ കഴിയുന്ന ഏറ്റവും ചെറിയ VPS വാടകയ്ക്ക് എടുത്ത്, തുടർന്ന് വീട്ടിലെ റൗട്ടർ അങ്ങോട്ട് ഔട്ട്ബൗണ്ട് ഡയൽ ചെയ്യട്ടെ. വീട്ടിലെ നെറ്റ്‌വർക്കിൽ നിന്നുള്ള ഔട്ട്ബൗണ്ട് UDP കാരിയർ NAT കടന്നുപോകുന്നു, അതിനാൽ ടണൽ അകത്തുനിന്ന് സ്ഥാപിക്കപ്പെടുന്നു, VPS എത്തിച്ചേരാവുന്ന അന്ത്യബിന്ദുവാകുന്നു. വീട്ടിലെ ഭാഗം സ്ഥിരമായ ടണൽ വിലാസമുള്ള ക്ലയന്റാകുന്നു, സെർവറല്ല.

VPS-ൽ ക്ലയന്റ്-നിർദ്ദിഷ്ട ഡയറക്ടറി എൻട്രി ചേർക്കുക, സെർവർക്ക് വീട്ടിലെ സബ്‌നെറ്റ് ഏത് പീയറുടേതാണെന്ന് അറിയാൻ, കൂടാതെ യോജിക്കുന്ന കെർണൽ റൂട്ടും ചേർക്കുക.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

iroute വരി OpenVPN-നോട് വീട്ടിലെ സബ്‌നെറ്റിന്റെ ട്രാഫിക് ഏത് ക്ലയന്റ് സ്വീകരിക്കുന്നു എന്ന് പറയുന്നു; route വരി ആ സബ്‌നെറ്റ് VPS-ന്റെ കെർണൽ പട്ടികയിൽ ഇടുന്നു, പാക്കറ്റുകൾ ടണലിൽ പ്രവേശിക്കാൻ. പ്രസിദ്ധീകരിച്ച സേവനത്തിന്, പൊതു പോർട്ട് 10.8.0.10-ലേക്ക് ഫോർവേഡ് ചെയ്യുന്ന ഡെസ്റ്റിനേഷൻ NAT നിയമം ചേർത്ത് net.ipv4.ip_forward പ്രവർത്തനക്ഷമമാക്കുക.

പുറത്തുനിന്ന് പാത പരിശോധിക്കുക

പൊതു ഭാഗത്തുള്ള ഓരോ ഹോപ്പും പരിശോധിക്കുക, കാരണം വിജയകരമായ ടണൽ സേവനം എത്തിച്ചേരാവുന്നതാണെന്ന് തെളിയിക്കുന്നില്ല. VPS-ലെ ശ്രവണ അവസ്ഥയും പാക്കറ്റ് ക്യാപ്ചറും 'ഒന്നും വന്നില്ല' എന്നതിനെ 'വന്നു, എന്നിട്ട് ഉപേക്ഷിച്ചു' എന്നതിൽ നിന്ന് വേർതിരിക്കുന്നു.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

ക്യാപ്ചർ ഫോണിൽ നിന്നുള്ള പാക്കറ്റുകൾ കാണിക്കുകയും മറുപടി ഇല്ലാതിരിക്കുകയും ചെയ്താൽ, അടുത്ത ഇടം സെർവർ കോൺഫിഗറേഷനോ ഫയർവാളോ ആണ്. ക്യാപ്ചർ ഒന്നും കാണിക്കുന്നില്ലെങ്കിൽ, ക്ലയന്റ് ഇപ്പോഴും പരിഹരിക്കുന്നു അല്ലെങ്കിൽ തെറ്റായ വിലാസത്തിലേക്ക് അയക്കുന്നു.

ആദ്യം വിലയിരുത്തേണ്ട ബദലുകൾ

ISP-യിൽ നിന്നുള്ള സമർപ്പിത IPv4 വിലാസം ഏറ്റവും ചെറിയ പരിഹാരമാണ്, സാധാരണയായി ചെറിയ മാസ ഫീസ്. VPN, ക്ലയന്റ് നെറ്റ്‌വർക്ക്, DNS റെക്കോർഡുകൾ എല്ലാം പിന്തുണയ്ക്കുമ്പോൾ നേറ്റീവ് IPv6 ഇരു അറ്റങ്ങളിലെയും വിവർത്തനം ഒഴിവാക്കുന്നു. വീട്ടിലെ നെറ്റ്‌വർക്കിനുള്ളിൽ സബ്‌നെറ്റ് റൗട്ടറുള്ള മെഷ് ഓവർലേ VPS ഇല്ലാതെ അതേ റിലേ നൽകുന്നു, എന്നാൽ ഏകോപന സേവനത്തെ ആശ്രയിക്കുന്നതിന്റെ വിലയ്ക്ക്.

ആവശ്യകത സ്ഥിരമായ ഇൻബൗണ്ട് ആക്‌സസും ഓരോ നിയമവും നിങ്ങളുടെ നിയന്ത്രണത്തിൽ നിൽക്കേണ്ടതുമാണെങ്കിൽ റിലേ തിരഞ്ഞെടുക്കുക. ബജറ്റ് അനുവദിക്കുകയും ലക്ഷ്യം അതിനെക്കുറിച്ച് ചിന്തിക്കുന്നത് നിർത്തുക മാത്രമാണെങ്കിൽ ISP വിലാസം തിരഞ്ഞെടുക്കുക.