NAT doppju u l-VPN tiegħek: il-klijent jaħdem, is-server le

Ir-router tiegħek jinsab wara router ieħor, l-indirizz WAN huwa privat, u l-klijent VPN xorta jgħaqqad. Din il-kombinazzjoni tħawwad lil min jistenna li NAT doppju jkisser il-mini, iżda l-konnessjonijiet ħierġa huma eżattament dak li t-traduzzjoni tittratta l-aħjar. L-ospitar ta' server VPN wara l-istess żewġ saffi huwa l-każ li normalment ifalli. Pinġi d-direzzjoni tal-konnessjoni qabel ma tbiddel xejn.

L-ewwel pinġi d-direzzjoni tal-konnessjoni

Iftaħ il-paġna tal-istat tar-router intern u ikteb l-indirizz WAN tiegħu, imbagħad qabblu mal-indirizz li sservi lilek servizz pubbliku. Jekk it-tnejn huma differenti, mill-inqas traduttur wieħed jinsab bejn ir-router tiegħek u l-internet. Jekk l-indirizz WAN jaqa' fi ħdan 100.64.0.0/10, it-traduttur ta' barra x'aktarx jappartjeni lill-fornitur tiegħek, u int ma tikkontrollahx. Dawn iż-żewġ fatti jiddeterminaw liema mill-passi li ġejjin jista' jaħdem.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

NAT doppju mhuwiex VPN doppju. It-traduzzjoni terġa' tikteb l-indirizzi u l-portijiet; ma żżidx tieni mina kriptata, u ma tikkripta xejn. Li żżomm iż-żewġ ideat separati huwa importanti għax is-soluzzjonijiet huma għal kollox differenti, u waħda minnhom teħtieġ konverżazzjoni mal-fornitur tiegħek minflok paġna tas-settings.

Ħiereġ: il-klijent jistaqsi, it-tradutturi jimmapjaw

Mina ħierġa tibda b'pakkett mill-magna tiegħek, għalhekk kull traduttur jista' joħloq immappjar u jħalli t-tweġiba terġa' tidħol. Il-protokoll, il-port u t-timers tal-inattività jiddeterminaw jekk dak l-immappjar jibqax ħaj biżżejjed biex ikun utli. Ħafna routers tal-konsumaturi jittrattaw dan mingħajr ebda konfigurazzjoni.

Il-fallimenti li tassew jidhru normalment jikkonċernaw il-timeouts u l-appoġġ tal-protokolli aktar milli n-numru ta' routers. Mina li taqa' wara ftit minuti ta' silenzju hija immappjar li jiskadi, u keepalive hija t-tweġiba standard. IPsec għandu estensjonijiet NAT-traversal standard, għalhekk li tgħid li ma jistax jaqsam it-traduzzjoni hija sempliċement żbaljata. Jekk il-mina ma tiġix stabbilita xejn, ħares lejn il-punt tat-tmiem u l-kredenzjali qabel ma tagħti l-ħtija lit-topoloġija.

wg show
ping -c3 10.8.0.1

Ieqaf jekk il-mina ħierġa taħdem minn netwerk wieħed u mhux minn ieħor. Dak it-tqabbil huwa dwar in-netwerks, mhux dwar in-numru ta' routers.

Dieħel: l-ibilel jgħatti biss it-tagħmir li inti tippossjedi

L-ospitar ta' server huwa d-direzzjoni opposta: konnessjoni ġdida tasal mill-internet u trid tilħaq il-magna tiegħek permezz ta' kull saff. Regola tal-ibilel tal-port fuq ir-router intern tgħin biss jekk it-traduttur ta' barra jwassal ukoll dak it-traffiku lilek. Li tirrepeti r-regola lokali ma tagħtik kontroll fuq it-tagħmir tal-fornitur.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Qabbel l-indirizz WAN tar-router intern mal-indirizz pubbliku li osservajt, u innota minn fejn ġie kull valur. Jekk l-indirizz WAN huwa privat jew fil-firxa kondiviża, is-saff ta' barra qed jagħmel traduzzjoni li ma tistax tikkonfigura. Staqsi lill-fornitur liema aċċessibilità dieħla jappoġġja qabel ma tqatta' lejla sħiħa fuq regoli li ma jistgħux jidħlu fis-seħħ. Li tneħħi router jew li titfi firewall b'mod wiesa' mhuwiex dijanjosi, u huwa skambju ħażin għal port wieħed miftuħ.

Ieqaf jekk is-saff ta' barra huwa tal-fornitur u ma jibgħatx. Allura t-tweġibiet appoġġjati huma metodu ieħor ta' aċċess jew relay, mhux regola oħra min-naħa tiegħek.

Ittestja varjabbli waħda kull darba

Ibdel ħaġa waħda għal kull test u rreġistra r-riżultat, għax mogħdija b'NAT doppju għandha aktar varjabbli minn waħda b'router wieħed. Żomm il-profil u l-apparat fissi, imbagħad qabbel netwerk ta' aċċess ieħor. Innota jekk in-negozjati jfallux, jekk is-sessjoni taqax wara l-inattività, jew jekk humiex biss id-destinazzjonijiet privati li jfallu. Dawk it-tliet osservazzjonijiet jindikaw tliet saffi differenti.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Sottnetwerks privati li jikkoinċidu huma nassa separata li ebda ammont ta' traduzzjoni ma jsewwiha. Jekk in-netwerk tad-dar tiegħek u n-netwerk remot jużaw l-istess firxa, konflitt ta' rotta jidher irrispettivament minn kemm hemm tradutturi bejniethom. Li terġa' tinnumera naħa waħda hija l-unika tweġiba dejjiema.

Il-gateway remot jistħoqqlu l-istess attenzjoni, għax ir-regoli tal-ibilel u r-rotot tar-ritorn tiegħu jistgħu jkunu l-biċċa nieqsa. Mina li tawtentika xorta tista' ma jkollhiex mogħdija tal-applikazzjoni użabbli, u dak il-falliment jidher identiku mill-ġenb tal-klijent. Il-mixja tintemm meta tkun tista' tgħid liema direzzjoni tfalli u liema saff hija responsabbli għaliha.