डबल NAT र तपाईंको VPN: क्लाइन्ट चल्छ, सर्भर चल्दैन

तपाईंको राउटर अर्को राउटरको पछाडि छ, WAN ठेगाना निजी छ, र VPN क्लाइन्ट तैपनि जोडिन्छ। डबल NAT ले सुरुङ तोड्छ भन्ने अपेक्षा गर्नेहरूलाई यो संयोजन अचम्ममा पार्छ, तर अनुवादले सबैभन्दा राम्रोसँग सम्हाल्ने भनेको बाहिर जाने जडानहरू नै हुन्। तीहरूकै दुई तहको पछाडि VPN सर्भर होस्ट गर्नु नै सामान्यतया असफल हुने अवस्था हो। केही पनि बदल्नु अघि जडानको दिशा कोर्नुहोस्।

पहिले जडानको दिशा कोर्नुहोस्

भित्री राउटरको स्थिति पृष्ठ खोलेर त्यसको WAN ठेगाना लेख्नुहोस्, त्यसपछि कुनै सार्वजनिक सेवाले तपाईंलाई बताउने ठेगानासँग तुलना गर्नुहोस्। यदि दुवै फरक छन् भने, तपाईंको राउटर र इन्टरनेटबीच कम्तीमा एक अनुवादक छ। यदि WAN ठेगाना 100.64.0.0/10 भित्र पर्छ भने, बाहिरी अनुवादक सम्भवतः तपाईंको प्रदायकको हो, र तपाईंले त्यसलाई नियन्त्रण गर्नुहुन्न। यी दुई तथ्यले पछिका चरणहरूमध्ये कुनचाहिँ बिल्कुलै काम गर्न सक्छ भनेर निर्धारण गर्छन्।

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

डबल NAT भनेको डबल VPN होइन। अनुवादले ठेगाना र पोर्ट पुनर्लेखन गर्छ; यसले दोस्रो इन्क्रिप्टेड सुरुङ थप्दैन, र केही पनि इन्क्रिप्ट गर्दैन। यी दुई विचार अलग राख्नु महत्त्वपूर्ण छ, किनकि समाधानहरू पूर्ण रूपमा फरक छन्, र तीमध्ये एउटालाई सेटिङ पृष्ठको सट्टा तपाईंको प्रदायकसँग कुराकानी चाहिन्छ।

बाहिर जाने: क्लाइन्ट सोध्छ, अनुवादकहरू म्याप गर्छन्

बाहिर जाने सुरुङ तपाईंको मेसिनबाट आएको प्याकेटबाट सुरु हुन्छ, त्यसैले हरेक अनुवादकले म्यापिङ बनाएर जवाफ फर्केर भित्र आउन दिन सक्छ। प्रोटोकल, पोर्ट र निष्क्रियता टाइमरले त्यो म्यापिङ उपयोगी हुनलायक लामो समय टिक्छ कि टिक्दैन भन्ने निर्धारण गर्छन्। अधिकांश उपभोक्ता राउटरले यसलाई कुनै पनि कन्फिगरेसनबिना सम्हाल्छन्।

वास्तवमा देखिने असफलताहरू सामान्यतया टाइमआउट र प्रोटोकल समर्थनसँग सम्बन्धित हुन्छन्, राउटरको संख्यासँग होइन। केही मिनेटको मौनतापछि खस्ने सुरुङ भनेको सकिँदै गरेको म्यापिङ हो, र keepalive सामान्य उत्तर हो। IPsec मा मानक NAT-traversal विस्तारहरू छन्, त्यसैले यो अनुवाद पार गर्न सक्दैन भन्ने दाबी सीधै गलत हो। यदि सुरुङ बिल्कुलै स्थापित हुँदैन भने, टोपोलोजीलाई दोष दिनु अघि इन्डपोइन्ट र प्रमाणहरू हेर्नुहोस्।

wg show
ping -c3 10.8.0.1

यदि बाहिर जाने सुरुङ एउटा नेटवर्कबाट चल्छ र अर्कोबाट चल्दैन भने रोक्नुहोस्। त्यो तुलना नेटवर्कको बारेमा हो, राउटरको संख्याको बारेमा होइन।

भित्र आउने: फर्वार्डिङले तपाईंको आफ्नै स्वामित्वको उपकरण मात्र समेट्छ

सर्भर होस्ट गर्नु विपरीत दिशा हो: इन्टरनेटबाट नयाँ जडान आउँछ र हरेक तह हुँदै तपाईंको मेसिनसम्म पुग्नुपर्छ। भित्री राउटरको पोर्ट-फर्वार्डिङ नियमले तब मात्र मद्दत गर्छ जब बाहिरी अनुवादकले पनि त्यो ट्राफिक तपाईंसम्म पुर्‍याउँछ। स्थानीय नियम दोहोर्‍याउँदा प्रदायकको उपकरणमाथि नियन्त्रण मिल्दैन।

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

भित्री राउटरको WAN ठेगानालाई तपाईंले देखेको सार्वजनिक ठेगानासँग तुलना गर्नुहोस् र हरेक मान कहाँबाट आयो लेख्नुहोस्। यदि WAN ठेगाना निजी छ वा साझा दायरामा छ भने, बाहिरी तहले तपाईंले कन्फिगर गर्न नसक्ने अनुवाद गरिरहेको छ। जुन नियमहरू लागू हुन सक्दैनन् तिनमा साँझभर खर्च गर्नु अघि प्रदायकलाई कुन भित्र आउने पहुँच समर्थन गर्छ भनेर सोध्नुहोस्। राउटर हटाउनु वा फायरवाल व्यापक रूपमा बन्द गर्नु निदान होइन, र एउटा खुला पोर्टको लागि त्यो नराम्रो साटासाट हो।

यदि बाहिरी तह प्रदायकको हो र त्यसले फर्वार्ड गर्दैन भने रोक्नुहोस्। त्यसपछि समर्थित उत्तरहरू अर्को पहुँच विधि वा रिले हुन्, तपाईंको तर्फबाट अर्को नियम होइन।

एक पटकमा एउटा चल परीक्षण गर्नुहोस्

हरेक परीक्षणमा एउटा कुरा बदल्नुहोस् र नतिजा लेख्नुहोस्, किनकि डबल NAT मार्गमा एउटा राउटरको मार्गभन्दा बढी चलहरू हुन्छन्। प्रोफाइल र उपकरण स्थिर राख्नुहोस्, त्यसपछि अर्को पहुँच नेटवर्कसँग तुलना गर्नुहोस्। वार्ता असफल हुन्छ कि, निष्क्रियतापछि सत्र खस्छ कि, वा निजी गन्तव्यहरू मात्र असफल हुन्छन् कि भनेर नोट गर्नुहोस्। ती तीन अवलोकनले तीन फरक तहहरूतर्फ संकेत गर्छन्।

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

ओभरल्याप हुने निजी सबनेटहरू छुट्टै जाल हुन् जसलाई कुनै पनि मात्राको अनुवादले सुधार्दैन। यदि तपाईंको घरको नेटवर्क र टाढाको नेटवर्कले एउटै दायरा प्रयोग गर्छन् भने, बीचमा जतिवटा अनुवादक भए पनि मार्ग द्वन्द्व देखा पर्छ। एउटा पक्ष पुनः क्रमांकन गर्नु नै एकमात्र टिकाउ उत्तर हो।

टाढाको गेटवे पनि उत्तिकै ध्यानको योग्य छ, किनकि त्यसका फर्वार्डिङ नियम र फिर्ती मार्गहरू हराएको टुक्रा हुन सक्छन्। प्रमाणीकरण पास हुने सुरुङसँग पनि प्रयोगयोग्य अनुप्रयोग मार्ग नहुन सक्छ, र त्यो असफलता क्लाइन्टको तर्फबाट एउटै देखिन्छ। कुन दिशा असफल हुन्छ र कुन तह त्यसको मालिक हो भन्न सक्ने भएपछि यो यात्रा सकिन्छ।