CGNAT-ийн ард байгаа VPN сервер яагаад хэзээ ч холболт хүлээж авахгүй вэ

100.64 хаяг, өөр газар шийдэгддэг динамик DNS нэр, ирж буй гар барилт байхгүй нь нэг асуудал: операторын NAT. Үүнийг баталгаажуулаад дараа нь гарч буй урсгалыг релеээр дамжуулна уу.

Рутер 100.72-оор эхэлсэн WAN хаягийг мэдээлдэг, динамик DNS нэр өөр нийтийн хаяг руу шийдэгддэг, мөн тэр рутер дээрх VPN сервер гаднаас гар барилтыг хэзээ ч гүйцээдэггүй. Порт дамжуулалт тохируулагдсан, үйлчилгээ ажиллаж байгаа, LAN-аас хийсэн туршилт одоо ч ажиллаж байна. Рутерийн лог дотор алдаа мэт юу ч харагдахгүй байна. Энэ хослол нь операторын түвшний NAT бөгөөд ISP-ийн эзэмшдэг хаяг дээр ямар ч галт хананы дүрэм порт нээж чадахгүй.

Хамтарсан хаягийг баталгаажуулахад хоёр минут шаардагдаж, долоо хоногийн тохиргооны өөрчлөлтөөс сэргийлнэ.

Операторын NAT-ыг заасан шинж тэмдгүүд

Рутерийн төлөвийн хуудас дээрх WAN хаягийг гадаад хайлтаас мэдээлсэн хаягтай харьцуулна уу. 100.64.0.0/10 доторх WAN хаяг нь ердийн шинж, хувийн 10/8, 172.16/12, 192.168/16 мужууд мөн адил утгатай. Хэрэв traceroute ижил нийтийн үсрэлтийг давтан харуулж, эсвэл эрт үсрэлт хувийн хаягаар хариулж байвал рутер болон интернетийн хооронд өөр нэг орчуулагч байна. Зарим ISP томилогдсон хаягийг зөвхөн хэрэглэгчийн порталд жагсаадаг тул тэр утгыг traceroute-ийн хамт экспортлоорой.

Протокол эсвэл порт солих нь тус болохгүй, учир нь асуудал хаалттай порт биш, ирж буй хүртээмж юм.

Яагаад дамжуулалт ба динамик DNS үүнийг засаж чадахгүй вэ

Порт дамжуулах дүрэм нь рутерийн WAN интерфэйс дээрх портыг буулгадаг, гэхдээ ирж буй урсгал хэзээ ч тэр интерфэйсд хүрдэггүй: ISP эхлээд орчуулаад зөвхөн өөрийн хүснэгтээр зөвшөөрснийг дамжуулдаг. Хамтарсан хаягийг динамик DNS-д нийтлэх нь хэрэглэгчдийг олон захиалагчийн ашигладаг ISP гарц руу чиглүүлдэг, иймээс нэр шийдэгдэж, гар барилт дараа нь ч бүтэлгүйтдэг. Hairpin туршилтууд амжилттай болдог, учир нь рутер өөрийн дүрэмд дотроос хариулдаг, UPnP-д ч яг ижил сохор цэг бий.

Клиентийг дахин тохируулах нь ч тус болохгүй, учир нь алдаа нь клиентийн ямар ч тохиргоог уншихаас өмнө гардаг.

Тодорхой маршруттай VPS-ээр дамжуулах

Урд нь нийтийн хаяг тавина: урсгалыг даах чадвартай хамгийн бага VPS-ийг хөлсөлж, дараа нь гэрийн рутерыг тийшээ гарч холбогдохыг албадна. Гэрийн сүлжээнээс гарч буй UDP операторын NAT-ыг дамждаг тул туннель дотроос бүрдэж, VPS нь хүртээмжтэй төгсгөлийн цэг болно. Гэрийн тал нь тогтмол туннелийн хаягтай клиент болно, сервер биш.

VPS дээр клиентэд тусгайлсан каталогийн бичлэг нэмж, сервер гэрийн дэд сүлжээг аль түнш эзэмшиж байгааг мэдэх болгож, тохирох цөмийн маршрут нэмнэ.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

iroute мөр OpenVPN-д гэрийн дэд сүлжээний урсгалыг аль клиент хүлээн авахыг хэлнэ; route мөр тэр дэд сүлжээг VPS-ийн цөмийн хүснэгтэд хийж, пакетууд туннельд орох боломжтой болгоно. Нийтлэгдсэн үйлчилгээний хувьд нийтийн портыг 10.8.0.10 руу дамжуулах очих газрын NAT дүрэм нэмж, net.ipv4.ip_forward идэвхжүүлнэ.

Замыг гаднаас туршина

Нийтийн талд үсрэлт бүрийг шалгана, учир нь амжилттай туннель нь үйлчилгээ хүртээмжтэй гэдгийг батлахгүй. VPS дээрх сонсох төлөв болон пакет барих нь 'юу ч ирээгүй' ба 'ирсэн боловч хаягдсан' хоёрыг ялгана.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Хэрэв барилт утаснаас пакетуудыг харуулж, хариу байхгүй бол дараагийн зогсолт серверийн тохиргоо эсвэл галт хана. Хэрэв барилт юу ч харуулахгүй бол клиент одоо ч шийдэж эсвэл буруу хаяг руу илгээж байна.

Эхлээд үнэлэх ёстой хувилбарууд

ISP-ээс олгосон тусгай IPv4 хаяг нь хамгийн богино шийдэл бөгөөд ихэвчлэн бага сарын төлбөртэй. VPN, клиентийн сүлжээ, DNS бичлэгүүд бүгд дэмжвэл төрөлх IPv6 нь хоёр төгсгөлд орчуулгыг арилгана. Гэрийн сүлжээний дотор дэд сүлжээний рутер бүхий mesh давхарга VPS-гүйгээр ижил релег бий болгодог, гэхдээ зохицуулалтын үйлчилгээнээс хамааралтай байх үнээр.

Шаардлага нь тогтвортой ирж буй хандалт бөгөөд дүрэм бүр таны хяналтад байх ёстой бол релег сонгоно уу. Төсөв зөвшөөрч, зорилго нь зүгээр л энэ тухай бодохоо болих бол ISP хаягийг сонгоно уу.

Холбоотой нийтлэлүүд