Hvorfor en VPN-server bak CGNAT aldri godtar tilkoblinger

Ruteren rapporterer en WAN-adresse som begynner med 100.72, det dynamiske DNS-navnet løses opp til en annen offentlig adresse, og VPN-serveren på den ruteren fullfører aldri et håndtrykk utenfra. Portviderekobling er konfigurert, tjenesten kjører, og en test fra LAN-et virker fortsatt. Ingenting i ruterloggen ser ut som en feil. Den kombinasjonen er operatørgradert NAT, og ingen brannmurregel kan åpne en port på en adresse som ISP-en holder.

Å bekrefte den delte adressen tar to minutter og forhindrer en uke med konfigurasjonsendringer.

Tegnene som peker mot operatørens NAT

Sammenlign WAN-adressen på ruterens statusside med adressen en ekstern oppslag rapporterer. En WAN-adresse innenfor 100.64.0.0/10 er det vanlige tegnet, og de private områdene 10/8, 172.16/12 og 192.168/16 betyr det samme. Hvis traceroute viser samme offentlige hopp gjentatt, eller et tidlig hopp svarer med en privat adresse, sitter det en annen oversetter mellom ruteren og internettet. Noen ISPer viser bare den tildelte adressen i kundeportalen, så eksporter den verdien sammen med traceroute.

Å bytte protokoll eller port hjelper ikke, fordi problemet er innkommende tilgjengelighet og ikke en lukket port.

Hvorfor viderekobling og dynamisk DNS ikke kan rette det

En portviderekoblingsregel kartlegger en port på ruterens WAN-grensesnitt, men innkommende trafikk når aldri det grensesnittet: ISP-en oversetter den først og sender bare videre det tabellen dens tillater. Å publisere den delte adressen i dynamisk DNS peker klientene mot en ISP-gateway som mange abonnenter bruker, og derfor løses navnet opp mens håndtrykket fortsatt mislykkes. Hairpin-tester lykkes fordi ruteren svarer sin egen regel innenfra, og UPnP har nøyaktig samme blindsone.

Det hjelper heller ikke å konfigurere klienten på nytt, siden feilen oppstår før noen klientinnstilling leses.

Videresend gjennom en VPS med eksplisitte ruter

Sett en offentlig adresse foran ved å leie den minste VPS-en som kan bære trafikken, og la deretter hjemmeruteren ringe ut til den. Utgående UDP fra hjemmenettet passerer operatørens NAT, så tunnelen etableres innenfra og VPS-en blir det tilgjengelige endepunktet. Hjemmesiden blir en klient med fast tunneadresse, ikke en server.

På VPS-en legger du til en klientspesifikk katalogoppføring slik at serveren vet hvilken peer som eier hjemmesubnettet, og legger til en samsvarende kjernerute.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

Linjen iroute forteller OpenVPN hvilken klient som mottar trafikk for hjemmesubnettet; linjen route legger det subnettet i VPS-ens kjerneltabell slik at pakker i det hele tatt kommer inn i tunnelen. For en publisert tjeneste legger du til en destinasjons-NAT-regel som videresender den offentlige porten til 10.8.0.10, og aktiverer net.ipv4.ip_forward.

Test stien utenfra

Bekreft hvert hopp på den offentlige siden, fordi en vellykket tunnel ikke beviser at tjenesten er tilgjengelig. Lyttetilstand og pakkefangst på VPS-en skiller «ingenting kom» fra «kom og ble forkastet».

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Hvis fangsten viser pakker fra telefonen men ingen svar, er serverkonfigurasjonen eller brannmuren neste stopp. Hvis fangsten ikke viser noe, løser klienten fortsatt opp eller sender til feil adresse.

Alternativer det er verdt å prise først

En dedikert IPv4-adresse fra ISP-en er den korteste løsningen og er vanligvis en liten månedlig avgift. Innebygd IPv6 fjerner oversettelsen i begge ender når VPN-en, klientnettet og DNS-oppføringene alle bærer det. Et mesh-overlegg med en subnett-ruter inne i hjemmenettet oppnår samme videresending uten en VPS, men på bekostning av avhengighet til en koordineringstjeneste.

Velg videresendingen når kravet er stabil innkommende tilgang og hver regel skal forbli under din kontroll. Velg ISP-adressen når budsjettet tillater det og målet rett og slett er å slutte å tenke på det.