ولې د CGNAT شاته VPN سرور هیڅکله اړیکې نه مني

100.64 پته، د DNS بدلېدونکی نوم چې بل ځای حل کېږي او د ننوتلو لاس ورکول نه وي یوه ستونزه ده: د چلونکي NAT. دا تایید کړئ، بیا وتونکی ټرافیک ریلې کړئ.

روټر د WAN پته راپور ورکوي چې په 100.72 پیل کېږي، د DNS بدلېدونکی نوم بل عامه پتې ته حل کېږي، او په هغه روټر کې VPN سرور له بهر څخه هیڅکله لاس ورکول بشپړ نه کوي. د پورټ فوروارډینګ تنظیم دی، خدمت روان دی، او له LAN څخه ازموینه لا هم کار کوي. د روټر په لاګ کې د خطا په څېر څه نه ښکاري. دا ترکیب د چلونکي کچې NAT دی، او هیڅ د اور دېوال قاعده نشي کولی په هغه پته پورټ خلاص کړي چې ISP یې لري.

د شریکې پتې تاییدول دوه دقیقې وخت نیسي او د یوې اونۍ تنظیماتي بدلونونه مخه نیسي.

هغه نښې چې د چلونکي NAT ته اشاره کوي

د روټر د حالت په پاڼه کې WAN پته له هغې پتې سره پرتله کړئ چې بهرنۍ پلټنه یې راپور ورکوي. په 100.64.0.0/10 کې WAN پته عادي نښه ده، او شخصي حدونه 10/8، 172.16/12 او 192.168/16 همدغه مانا لري. که traceroute هماغه عامه ټوپ تکرار ښکاره کړي، یا لومړنی ټوپ په شخصي پته ځواب ووایي، د روټر او انټرنیټ ترمنځ بل ژباړونکی ناست دی. ځینې ISP د ټاکل شوې پتې یوازې د پیرودونکي په پورټل کې لیست کوي، نو هغه ارزښت له traceroute سره صادر کړئ.

د پروتوکولونو یا پورټونو بدلول مرسته نه کوي، ځکه ستونزه د بند پورټ نه، بلکې د ننوتلو رسېدنه ده.

ولې فوروارډینګ او بدلېدونکی DNS دا نشي سمولای

د پورټ-فوروارډ قاعده د روټر د WAN انټرفېس پورټ نقشه کوي، خو ننوتی ټرافیک هیڅکله هغه انټرفېس ته نه رسېږي: ISP لومړی ژباړي او یوازې هغه څه لیږدوي چې خپله جدول یې اجازه ورکوي. د شریکې پتې په بدلېدونکي DNS کې خپرول پیرودونکي هغه ISP ګېټوې ته استوي چې ډېر ګډونوال یې کاروي، له همدې امله نوم حل کېږي خو لاس ورکول بیا هم ناکامېږي. د hairpin ازموینې بریالۍ کېږي ځکه روټر له دننه خپل قاعده ته ځواب وایي، او UPnP هم هماغه ړوند نقطه لري.

د پیرودونکي بیا تنظیمول هم مرسته نه کوي، ځکه ناکامي د پیرودونکي له هر تنظیم لوستلو مخکې پېښېږي.

د روښانه لارو سره د VPS له لارې ریلې

مخکې یوه عامه پته کېږدئ تر ټولو کوچنی VPS په کرایه واخلئ چې ټرافیک یې وړلای شي، بیا کورني روټر ته ووایاست چې هغې خوا ته ووتې او اړیکه ونیسي. له کورني شبکې وتونکی UDP د چلونکي NAT تېرېږي، نو ټنل له دننه جوړېږي او VPS د رسېدو وړ پای ټکی کېږي. کورنی اړخ د ثابت ټنل پتې سره پیرودونکی کېږي، نه سرور.

په VPS کې د پیرودونکي ځانګړې لارښود ننوتنه ورزیاته کړئ چې سرور پوه شي کوم پير د کورني فرعي شبکې مالک دی، او سمون خوړونکې کرنل لار هم ورزیاته کړئ.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

iroute کرښه OpenVPN ته وایي چې د کورني فرعي شبکې ټرافیک کوم پیرودونکی اخلي؛ route کرښه هغه فرعي شبکه د VPS په کرنل جدول کې اېږدي چې پاکټونه په ټنل کې دننه شي. د خپرې شوې خدمت لپاره، هغه د منزل NAT قاعده ورزیاته کړئ چې عامه پورټ 10.8.0.10 ته لیږدوي، او net.ipv4.ip_forward فعال کړئ.

لاره له بهر ازموئ

په عامه اړخ کې هر ټوپ تایید کړئ، ځکه بریالی ټنل د خدمت د رسېدنې ثبوت نه دی. په VPS کې د اورېدو حالت او د پاکټ نیول 'هیڅ رانغی' له 'راغی او وغورځول شو' څخه بېلوي.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

که نیول له تلیفون څخه پاکټونه وښیي خو ځواب نه وي، بل تمځای د سرور تنظیم یا د اور دېوال دی. که نیول هیڅ ونه ښیي، پیرودونکی لا هم حل کوي یا غلطې پتې ته لیږي.

هغه بدیلونه چې لومړی یې بیه وګورئ

له ISP څخه ځانګړې IPv4 پته تر ټولو لنډ حل دی او معمولاً لږه میاشتنۍ فیس لري. اصلي IPv6 دواړو خواوو کې ژباړه لره کوي کله چې VPN، د پیرودونکي شبکه او DNS ثبتونه ټول یې ملاتړ وکړي. د کورنۍ شبکې دننه د فرعي شبکې روټر سره mesh پوښ پرته له VPS څخه هماغه ریلې برابروي، خو د همغږۍ خدمت پورې د تړاو په بیه.

ریلې غوره کړئ کله چې اړتیا ثابته ننوتونکې لاسرسی وي او هر قاعده باید ستاسو تر کنټرول لاندې پاتې شي. د ISP پته غوره کړئ کله چې بودیجه اجازه ورکړي او هدف یوازې دا وي چې پرې فکرول بند کړئ.

اړوندې مقالې