Давхар NAT ба таны VPN: клиент ажиллана, сервер ажиллахгүй

Таны чиглүүлэгч өөр чиглүүлэгчийн ард байрлаж, WAN хаяг нь хувийн боловч VPN клиент холбогдсоор байна. Давхар NAT туннелийг эвдэнэ гэж хүлээдэг хүмүүст энэ хослол гайхалтай санагддаг ч хөрвүүлэлт хамгийн сайн зохицуулдаг зүйл нь яг гадагш чиглэсэн холболт юм. Ижил хоёр давхаргын ард VPN сервер байрлуулах нь ихэвчлэн бүтэлгүйтдэг тохиолдол юм. Ямар нэг зүйлийг өөрчлөхөөс өмнө холболтын чиглэлийг зур.

Эхлээд холболтын чиглэлийг зур

Дотоод чиглүүлэгчийн төлөвийн хуудсыг нээж WAN хаягийг нь бичиж аваад, дараа нь нийтийн үйлчилгээ танд мэдээлж буй хаягтай харьцуул. Хэрэв хоёулаа ялгаатай бол таны чиглүүлэгч болон интернетийн хооронд дор хаяж нэг хөрвүүлэгч байна. Хэрэв WAN хаяг 100.64.0.0/10 мужид орвол гадаад хөрвүүлэгч нь магадгүй таны үйлчилгээ үзүүлэгчийнх бөгөөд та үүнийг хянахгүй. Эдгээр хоёр баримт нь дараагийн алхмуудын аль нь огт ажиллаж чадахыг шийднэ.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Давхар NAT нь давхар VPN биш. Хөрвүүлэлт хаяг, портыг дахин бичдэг; энэ нь хоёр дахь шифрлэгдсэн туннель нэмэхгүй бөгөөд юуг ч шифрлэхгүй. Энэ хоёр ойлголтыг тусгаарлах нь чухал, учир нь шийдлүүд огт өөр бөгөөд тэдгээрийн нэг нь тохиргооны хуудас биш харин үйлчилгээ үзүүлэгчтэй ярилцахыг шаарддаг.

Гадагш чиглэл: клиент асууна, хөрвүүлэгчид зураглана

Гадагш чиглэсэн туннель таны машинаас гарсан пакетаар эхэлдэг тул хөрвүүлэгч бүр зураглал үүсгэж, хариуг буцааж оруулж чадна. Протокол, порт, сул зогсолтын таймерууд нь тэр зураглал ашигтай байх хангалттай хугацаанд үргэлжлэх эсэхийг шийднэ. Ихэнх хэрэглэгчийн чиглүүлэгч үүнийг ямар ч тохиргоогүйгээр шийддэг.

Бодит гарч буй алдаа нь ихэвчлэн чиглүүлэгчийн тоо биш, харин хугацаа хэтрэлт, протоколын дэмжлэгтэй холбоотой байдаг. Хэдэн минутын чимээгүйн дараа унадаг туннель нь дуусч буй зураглал бөгөөд keepalive нь стандарт хариулт юм. IPsec нь стандарт NAT-traversal өргөтгөлтэй тул хөрвүүлэлтийг давахгүй гэсэн мэдэгдэл зүгээр л буруу. Хэрэв туннель огт тогтохгүй бол топологийг буруутгахаас өмнө төгсгөлийн цэг болон итгэмжлэлийг хар.

wg show
ping -c3 10.8.0.1

Гадагш чиглэсэн туннель нэг сүлжээнээс ажиллаж, нөгөөгөөс ажиллахгүй бол зогсоо. Тэр харьцуулалт нь сүлжээний тухай, чиглүүлэгчийн тооны тухай биш.

Дотогш чиглэл: дамжуулалт нь зөвхөн өөрийн эзэмшлийн тоног төхөөрөмжийг хамарна

Сервер байрлуулах нь эсрэг чиглэл юм: интернетээс шинэ холболт ирж, давхарга бүрээр дамжин таны машин хүрэх ёстой. Дотоод чиглүүлэгч дээрх порт дамжуулах дүрэм нь гадаад хөрвүүлэгч мөн тэр трафикийг танд хүргэх үед л тусална. Орон нутгийн дүрмийг давтах нь үйлчилгээ үзүүлэгчийн тоног төхөөрөмжийг хянах эрх өгөхгүй.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Дотоод чиглүүлэгчийн WAN хаягийг таны ажигласан нийтийн хаягтай харьцуулж, утга бүр хаанаас ирснийг тэмдэглэ. Хэрэв WAN хаяг хувийн эсвэл хуваалцсан мужид байвал гадаад давхарга таны тохируулж чадахгүй хөрвүүлэлт хийж байна. Хүчин төгөлдөр болж чадахгүй дүрмүүдэд бүтэн орой зарцуулахаас өмнө үйлчилгээ үзүүлэгчээс ямар дотогш чиглэсэн хүртээмжийг дэмждэг талаар асуу. Чиглүүлэгч авч хаях эсвэл галт ханыг өргөн хүрээнд унтраах нь онош биш бөгөөд нэг нээлттэй портын төлөө муу солилцоо юм.

Хэрэв гадаад давхарга нь үйлчилгээ үзүүлэгчийнх бөгөөд дамжуулахгүй бол зогсоо. Тэгвэл дэмжигдэх хариулт нь өөр хандалтын арга эсвэл реле бөгөөд таны талд өөр нэг дүрэм биш.

Нэг удаад нэг хувьсагчийг шалга

Туршилт бүрт нэг зүйлийг өөрчилж үр дүнг тэмдэглэ, учир нь давхар NAT зам нь нэг чиглүүлэгчтэй замаас илүү олон хувьсагчтай. Профайл болон төхөөрөмжийг тогтмол байлгаад дараа нь өөр хандалтын сүлжээтэй харьцуул. Хэлэлцээр бүтэлгүйтэж байна уу, сул зогсолтын дараа сесс унаж байна уу, эсвэл зөвхөн хувийн очих газрууд бүтэлгүйтэж байна уу гэдгийг тэмдэглэ. Тэр гурван ажиглалт гурван өөр давхаргыг заана.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Давхцсан хувийн дэд сүлжээнүүд нь ямар ч хэмжээний хөрвүүлэлт засч чадахгүй тусдаа урхи юм. Хэрэв таны гэрийн сүлжээ болон алсын сүлжээ ижил мужийг ашиглавал хооронд нь хэдэн хөрвүүлэгч байх нь хамаагүй, маршрутын зөрчил гарна. Нэг талыг дахин дугаарлах нь цорын ганц бат бөх хариулт.

Алсын гарц мөн адил анхаарал хандуулах ёстой, учир нь түүний дамжуулах дүрэм болон буцах маршрутууд нь дутуу хэсэг байж болно. Баталгаажуулалт дамждаг туннель ч ашиглах боломжтой програмын замгүй байж болох бөгөөд тэр алдаа клиентийн талаас ижил харагдана. Аль чиглэл бүтэлгүйтэж, аль давхарга үүнийг хариуцаж байгааг хэлж чадваас энэ тойм дуусна.