Għaliex server VPN wara CGNAT qatt ma jaċċetta konnessjonijiet

Indirizz 100.64, isem DNS dinamiku li jiġi riżolt band'oħra u l-ebda handshake dieħel huma problema waħda: NAT tal-operatur. Ikkonfermaha, imbagħad għaddi t-traffiku ħiereġ permezz ta' relay.

Ir-router jirrapporta indirizz WAN li jibda b'100.72, l-isem DNS dinamiku jiġi riżolt għal indirizz pubbliku ieħor, u s-server VPN fuq dak ir-router qatt ma jtemm handshake minn barra. Il-port forwarding huwa kkonfigurat, is-servizz qed jaħdem, u test mil-LAN għadu jaħdem. Xejn fil-log tar-router ma jidher bħala żball. Dik il-kombinazzjoni hija NAT ta' grad ta' operatur, u l-ebda regola tal-firewall ma tista' tiftaħ port fuq indirizz li l-ISP iżomm.

L-ikkonfermar tal-indirizz kondiviż jieħu żewġ minuti u jipprevjeni ġimgħa ta' bidliet fil-konfigurazzjoni.

Is-sinjali li jindikaw NAT tal-operatur

Qabbel l-indirizz WAN fil-paġna tal-istat tar-router mal-indirizz li jirrapporta tfittxija esterna. Indirizz WAN fi 100.64.0.0/10 huwa s-sinjal tas-soltu, u l-firxiet privati 10/8, 172.16/12 u 192.168/16 ifissru l-istess. Jekk traceroute juri l-istess hop pubbliku ripetut, jew hop bikri jwieġeb b'indirizz privat, hemm traduttur ieħor bejn ir-router u l-internet. Xi ISPs jelenkaw l-indirizz assenjat biss fil-portal tal-klijent, għalhekk esporta dak il-valur flimkien mat-traceroute.

Il-bidla tal-protokolli jew tal-ports ma tgħin xejn, għax il-problema hija r-reachability dieħla u mhux port magħluq.

Għaliex il-forwarding u d-DNS dinamiku ma jistgħux isewwuh

Regola tal-port forwarding tippjana port fuq l-interface WAN tar-router, iżda t-traffiku dieħel qatt ma jasal għal dik l-interface: l-ISP jittraduċih l-ewwel u jgħaddi biss dak li tippermetti t-tabella tiegħu stess. Il-pubblikazzjoni tal-indirizz kondiviż fid-DNS dinamiku tindirizza l-klijenti lejn gateway tal-ISP li jużawh ħafna abbonati, u għalhekk l-isem jiġi riżolt u l-handshake xorta jfalli. It-testijiet hairpin jirnexxu għax ir-router iwieġeb ir-regola tiegħu minn ġewwa, u UPnP għandha eżattament l-istess punkt blind.

Anki r-rikonfigurazzjoni tal-klijent ma tgħin, għax il-falliment iseħħ qabel ma jinqara kwalunkwe setting tal-klijent.

Għaddi permezz ta' VPS b'rotot espliċiti

Qiegħed indirizz pubbliku quddiem billi tikri l-iżgħar VPS li jista' jġorr it-traffiku, imbagħad agħmel ir-router tad-dar idial iejn barra lejh. UDP ħiereġ min-netwerk tad-dar jgħaddi minn NAT tal-operatur, għalhekk it-tunnel jiġi stabbilit minn ġewwa u l-VPS isir il-punt tat-tmiem aċċessibbli. In-naħa tad-dar issir klijent b'indirizz tat-tunnel fiss, mhux server.

Fuq il-VPS, żid entrata tad-directory speċifika għall-klijent biex is-server ikun jaf liema peer jippossjedi s-subnet tad-dar, u żid rotta tal-kernel li taqbel.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

Il-linja iroute tgħid lil OpenVPN liema klijent jirċievi t-traffiku għas-subnet tad-dar; il-linja route tqiegħed dik is-subnet fit-tabella tal-kernel tal-VPS biex il-pakketti jidħlu fit-tunnel. Għal servizz ippubblikat, żid regola NAT tad-destinazzjoni li tgħaddi l-port pubbliku lejn 10.8.0.10 u ppermetti net.ipv4.ip_forward.

Ittestja l-mogħdija minn barra

Ivverifika kull hop fuq in-naħa pubblika, għax tunnel li jirnexxi ma jippruvax li s-servizz huwa aċċessibbli. L-istat ta' smigħ u l-qbid tal-pakketti fuq il-VPS jifirdu 'xejn ma wasal' minn 'wasal u ntefa'.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Jekk il-qbid juri pakketti mit-telefon iżda l-ebda tweġiba, il-waqfa li jmiss hija l-konfigurazzjoni tas-server jew il-firewall. Jekk il-qbid ma juri xejn, il-klijent għadu qed jirriżolvi jew jibgħat lejn l-indirizz ħażin.

Alternattivi li jistħoqqilhom prezz l-ewwel

Indirizz IPv4 dedikat mill-ISP huwa l-eħfef soluzzjoni u normalment hija tariffa fix-xahar żgħira. IPv6 nattiv ineħħi t-traduzzjoni fiż-żewġ trufijiet meta l-VPN, in-netwerk tal-klijent u r-rekords DNS kollha jġorruh. Safra mesh b'router tas-subnet ġewwa n-netwerk tad-dar tilħaq l-istess relay mingħajr VPS, bi prezz ta' dipendenza fuq servizz ta' koordinazzjoni.

Agħżel ir-relay meta l-ħtieġa hija aċċess dieħel stabbli u kull regola għandha tibqa' taħt il-kontroll tiegħek. Agħżel l-indirizz tal-ISP meta l-baġit jippermetti u l-għan huwa sempliċement li tieqaf taħseb dwaru.

Artikli relatati