Pelayan VPN rumah tidak dapat dicapai: ikuti rantaian NAT

Pelayan menjawab di LAN, peraturan penghantaran port kelihatan betul, namun klien luar masih tidak dapat menyambung. Menelusuri satu sempadan pada satu masa ke arah luar lebih pantas daripada menyunting peraturan itu untuk kali keempat, kerana setiap sempadan meninggalkan buktinya sendiri: halaman WAN penghala, terjemahan penyedia dan pendengar pada hos. Mulakan pada halaman pentadbir yang sudah terbuka dan akhiri dengan ujian dari rangkaian yang tidak anda kawal. Catat setiap keputusan semasa anda berjalan, kerana urutan itulah diagnosis dan nombor yang diingati bukan bukti. Jika anda hanya memerlukan terowong keluar, terjemahan bukan masalah anda: hanya trafik masuk yang tidak diminta disekat.

Mulakan pada halaman WAN penghala

Log masuk ke penghala dan baca halaman status dan bukan senarai penghantaran port. Catat alamat WAN, antara muka yang menempatkannya dan sama ada jenis sambungan ialah DHCP, PPPoE atau sesuatu yang disediakan penyedia. Kemudian bandingkan alamat itu dengan apa yang dilaporkan perkhidmatan luar, menggunakan telefon pada data mudah alih supaya pemerhatian tidak kembali melalui penghala yang sama. Kedua-dua nombor menjawab soalan berbeza, dan membandingkannya ialah seluruh tujuan langkah ini.

Alamat WAN yang berbeza daripada alamat awam yang diperhatikan bermakna sekurang-kurangnya satu penterjemah berada di atas penghala. Itu belum lagi kerosakan, kerana banyak penyedia menterjemah mengikut reka bentuk dan perkhidmatan masih berfungsi. Jika kedua-duanya sepadan, penghala mungkin memiliki alamat itu dan masalah telah berpindah ke dalam rangkaian anda. Walau apa pun, catat pasangan itu bersama tarikh, kerana penyedia menetapkan semula alamat dan perbandingan dengan nota bulan lalu tidak bernilai.

Naik satu hop ke atas

Jalankan traceroute dari penghala itu sendiri dan baca beberapa hop pertama. Alamat awam berulang, hop pertama yang menjawab dengan alamat persendirian atau alamat dalam julat kongsi 100.64.0.0/10 semuanya menunjuk kepada penterjemah di hulu. RFC 6598 mentakrifkan julat itu khusus untuk penggunaan seperti ini, sebab itu melihatnya dalam medan WAN ialah isyarat kuat dan bukan keanehan. Dua penterjemah dalam laluan menjadikan jejak kurang jelas, jadi baca corak dan bukan satu baris.

Sesetengah penyedia hanya memaparkan alamat yang diberikan dalam portal pelanggan, jadi lihat di sana sebelum menyimpulkan penghala berbohong. Alamat portal yang sepadan dengan pemerhatian luar anda sementara penghala melaporkan sesuatu yang lain ialah bukti paling jelas adanya penterjemah di hulu. Simpan kedua-dua halaman dalam rekod perubahan, kerana perdebatan tentang siapa memiliki sempadan mana berjalan jauh lebih cepat dengan dua imej bertarikh.

Sahkan pendengar dan penghantaran

Ujian di LAN membuktikan perkhidmatan berfungsi secara setempat dan tidak membuktikan apa-apa tentang capaian dari luar. Banyak penghala menjawab peraturan penghantarannya sendiri dari dalam, jadi ujian jepit rambut berjaya sedangkan laluan luar masih tertutup. Sahkan bahawa daemon terikat pada alamat dan port yang anda anggap, kemudian uji dari luar. Semua di bawah hanya untuk dibaca.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Jika ujian luar menunjukkan tiada paket sampai ke penghala, kehilangan berlaku di hulu dan tiada peraturan setempat akan membaikinya. Jika paket tiba tetapi tiada apa menjawab, sempadan seterusnya ialah pendengar atau tembok api hos. Tangkapan paket pada hos menentukan yang mana satu anda sedang lihat, dan ia mengambil masa lebih singkat daripada satu lagi pusingan meneka peraturan. Biarkan pendengar dan pengangkutannya tidak berubah semasa anda membandingkan, jika tidak ujian seterusnya menjawab soalan lain.

Ubah topologi, bukan peraturan yang sama

Apabila penterjemah milik penyedia, pembaikannya ialah laluan lain dan bukan penghantaran lain. VPS kecil dengan alamat awam, disambungkan terowong keluar dari sisi rumah, meletakkan titik akhir yang boleh dicapai di hadapan perkhidmatan. Alamat awam yang disediakan penyedia lebih mudah di tempat ia wujud dan biasanya lebih murah daripada menjalankan mesin. IPv6 menghapuskan terjemahan sepenuhnya, dengan syarat rangkaian klien, rekod DNS dan dasar tembok api semuanya menyokongnya.

DNS dinamik hanya mengemas kini nama; ia tidak mencipta capaian, dan menunjuknya ke alamat kongsi menghantar klien ke get laluan penyedia yang juga digunakan pelanggan lain. Kegagalan itu kelihatan sama seperti pelayan mati, sebab itu rekod daripada langkah awal penting. Catat ke alamat mana nama itu diselesaikan apabila ujian gagal, dan simpan jawapan itu bersama keputusan ujian.

Tulis semula pelan di sekeliling sempadan yang anda kawal: pendengar, terowong dan laluan. Kekalkan penghantaran lama hanya selagi ia masih menerangkan sesuatu yang benar, kerana peraturan yang tidak lagi sepadan dengan topologi lebih buruk daripada tiada peraturan. Catat lapisan mana yang sebenarnya menyekat dan bukti apa yang menunjukkannya. Jika tidak, orang seterusnya yang membuka halaman pentadbir akan mengulangi setiap langkah perjalanan ini dari awal.