डबल NAT आणि तुमचा VPN: क्लायंट चालतो, सर्व्हर चालत नाही

तुमचा राउटर दुसऱ्या राउटरच्या मागे आहे, WAN पत्ता खाजगी आहे, आणि तरीही VPN क्लायंट जोडला जातो. डबल NAT सुरंग तोडेल अशी अपेक्षा करणाऱ्यांना हे संयोजन आश्चर्यचकित करते, पण भाषांतर सर्वात चांगल्या प्रकारे हाताळते ते बाहेर जाणारी कनेक्शनच. त्याच दोन स्तरांमागे VPN सर्व्हर होस्ट करणे हीच सामान्यतः अयशस्वी होणारी स्थिती. काहीही बदलण्यापूर्वी कनेक्शनची दिशा काढा.

आधी कनेक्शनची दिशा काढा

आतील राउटरचे स्थिती पृष्ठ उघडा आणि त्याचा WAN पत्ता लिहून घ्या, नंतर सार्वजनिक सेवा तुम्हाला सांगते त्या पत्त्याशी तुलना करा. दोन्ही वेगळे असल्यास, तुमच्या राउटर आणि इंटरनेटमध्ये किमान एक भाषांतरक आहे. WAN पत्ता 100.64.0.0/10 मध्ये येत असल्यास, बाहेरील भाषांतरक बहुधा तुमच्या पुरवठादाराचा आहे, आणि तुम्ही त्यावर नियंत्रण ठेवत नाही. ही दोन तथ्ये पुढील पैकी कोणती पायरी अजिबात चालू शकते हे ठरवतात.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

डबल NAT म्हणजे डबल VPN नाही. भाषांतर पत्ते आणि पोर्ट पुन्हा लिहिते; ते दुसरी एन्क्रिप्टेड सुरंग जोडत नाही, आणि काहीही एन्क्रिप्ट करत नाही. ह्या दोन कल्पना वेगळ्या ठेवणे महत्त्वाचे आहे, कारण उपाय पूर्णपणे वेगळे आहेत, आणि त्यापैकी एकाला सेटिंग्ज पृष्ठाऐवजी तुमच्या पुरवठादाराशी संवाद आवश्यक आहे.

बाहेर जाणे: क्लायंट विचारतो, भाषांतरक मॅप करतात

बाहेर जाणारी सुरंग तुमच्या मशीनमधून आलेल्या पॅकेटपासून सुरू होते, त्यामुळे प्रत्येक भाषांतरक मॅपिंग तयार करू शकतो आणि उत्तर परत आत येऊ देऊ शकतो. प्रोटोकॉल, पोर्ट आणि निष्क्रियता टाइमर ते मॅपिंग उपयुक्त होण्याइतके टिकते की नाही हे ठरवतात. बहुतेक ग्राहक राउटर हे कोणत्याही कॉन्फिगरेशनशिवाय हाताळतात.

प्रत्यक्षात दिसणारे अपयश सहसा टाइमआउट आणि प्रोटोकॉल समर्थनाशी संबंधित असतात, राउटरच्या संख्येशी नाही. काही मिनिटांच्या शांततेनंतर पडणारी सुरंग म्हणजे संपणारे मॅपिंग, आणि keepalive हे नेहमीचे उत्तर. IPsec मध्ये मानक NAT-traversal विस्तार आहेत, म्हणून ते भाषांतर ओलांडू शकत नाही हे विधान सरळ चुकीचे आहे. सुरंग अजिबात स्थापित होत नसेल, तर टोपोलॉजीला दोष देण्यापूर्वी एंडपॉइंट आणि क्रेडेन्शियल्स पहा.

wg show
ping -c3 10.8.0.1

बाहेर जाणारी सुरंग एका नेटवर्कमधून चालत असेल आणि दुसऱ्यातून चालत नसेल, तर थांबा. ती तुलना नेटवर्कबद्दल आहे, राउटरच्या संख्येबद्दल नाही.

आत येणे: फॉरवर्डिंग फक्त तुमच्या मालकीच्या उपकरणांना व्यापते

सर्व्हर होस्ट करणे ही उलटी दिशा आहे: इंटरनेटवरून नवीन कनेक्शन येते आणि प्रत्येक स्तरातून जाऊन तुमच्या मशीनपर्यंत पोहोचले पाहिजे. आतील राउटरवरील पोर्ट-फॉरवर्डिंग नियम तेव्हाच मदत करतो जेव्हा बाहेरील भाषांतरकही तो रहदारी तुमच्यापर्यंत पोहोचवतो. स्थानिक नियमाची पुनरावृत्ती केल्याने पुरवठादाराच्या उपकरणांवर नियंत्रण मिळत नाही.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

आतील राउटरचा WAN पत्ता तुम्ही पाहिलेल्या सार्वजनिक पत्त्याशी तुलना करा आणि प्रत्येक मूल्य कुठून आले ते नोंदवा. WAN पत्ता खाजगी असेल किंवा सामायिक श्रेणीत असेल, तर बाहेरील स्तर तुम्ही कॉन्फिगर करू शकत नाही असे भाषांतर करत आहे. अमलात येऊ शकत नाहीत अशा नियमांवर संपूर्ण संध्याकाळ घालवण्यापूर्वी पुरवठादाराला कोणते आत येणारे पोहोचणे समर्थित आहे ते विचारा. राउटर काढणे किंवा फायरवॉल मोठ्या प्रमाणात बंद करणे हे निदान नाही, आणि एका उघड्या पोर्टसाठी ती वाईट देवाणघेवाण आहे.

बाहेरील स्तर पुरवठादाराचा असेल आणि तो फॉरवर्ड करत नसेल, तर थांबा. तेव्हा समर्थित उत्तरे दुसरी प्रवेश पद्धत किंवा रिले आहेत, तुमच्या बाजूने अजून एक नियम नाही.

एका वेळी एक चल तपासा

प्रत्येक चाचणीत एक गोष्ट बदला आणि निकाल नोंदवा, कारण डबल NAT मार्गात एका राउटरच्या मार्गापेक्षा जास्त चल असतात. प्रोफाइल आणि उपकरण स्थिर ठेवा, नंतर दुसऱ्या प्रवेश नेटवर्कशी तुलना करा. बोलणी अयशस्वी होते का, निष्क्रियतेनंतर सत्र पडते का, किंवा फक्त खाजगी गंतव्ये अयशस्वी होतात का हे नोंदवा. ती तीन निरीक्षणे तीन वेगवेगळ्या स्तरांकडे निर्देश करतात.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

ओव्हरलॅप होणारे खाजगी सबनेट हा वेगळा सापळा आहे जो कोणतेही भाषांतर दुरुस्त करत नाही. तुमचे घरचे नेटवर्क आणि दूरचे नेटवर्क एकच श्रेणी वापरत असतील, तर मध्ये कितीही भाषांतरक असले तरी मार्ग संघर्ष दिसतो. एक बाजू पुन्हा क्रमांकित करणे हेच एकमेव टिकाऊ उत्तर.

दूरचा गेटवेही तितक्याच लक्षणीय आहे, कारण त्याचे फॉरवर्डिंग नियम आणि परतीचे मार्ग हे गहाळ तुकडा असू शकतात. प्रमाणीकरण पास होणाऱ्या सुरंगालाही वापरण्यायोग्य अनुप्रयोग मार्ग नसू शकतो, आणि ते अपयश क्लायंटच्या बाजूने एकसारखे दिसते. कोणती दिशा अयशस्वी होते आणि कोणता स्तर त्याचा मालक आहे हे तुम्ही सांगू शकलात की ही फेरी संपते.