ඔබේ VPN සේවාදායකය ඇත්තටම දකින මූලාශ්‍ර ලිපිනය NAT තීරණය කරයි
ඔබේ ලැප්ටොප් ලිපිනය කිසිවිටෙක VPN සේවාදායකයට ළඟා නොවේ. NAT එය අවසාන පිම්මේදී නැවත ලියයි, ටනලයේ IP පසුව පවරනු ලැබේ. දෙපස සංසන්දනය කරන ආකාරය.
VPN සේවාදායකය ඔබේ ලැප්ටොප් ලිපිනය පැකට්ටුවෙන් කියවා ලොගයක ලියන බව ඔබ සිතනවා. එය කියවන්නේ අවසාන NAT පිම්ම පිටත ශීර්ෂකයේ තැබූ දෙයයි, එසේම හොට්ස්පොට් ලෙස භාවිතා කරන දුරකථනයක එය බොහෝ විට තවත් සිය ගණනක් ග්‍රාහකයන් සමඟ බෙදාගන්නා ලිපිනයකි. ඔබේ යන්ත්‍රයේම 192.168.x.x එම ශීර්ෂකයේ අන්තර්ජාලය කිසිවිටෙක තරණය නොකරයි, ටනලයේ ලිපිනය සම්බන්ධතාවය දැනටමත් ස්ථාපිත වූ පසු සේවාදායකය විසින් ලබා දෙයි. එබැවින් සේවාදායක ලොගය සහ ලැප්ටොප් එකේ ip addr නොගැලපෙන විට, දෙකම වැරදි නොවේ; ඒවා එක් සැසියක විවිධ ස්තර විස්තර කරයි.
ලිපින තුනක්, ලොගයේ ඇත්තේ එකක් පමණි
ව්‍යාකූලත්වය ඇතිවන්නේ ලිපින තුනක් එකකට එකතු කිරීමෙනි. එක් එකකට වෙනම හිමිකරුවෙක් ඇත, එය වෙනම ශීර්ෂකයක ජීවත් වේ, සහ වෙනම මාර්ගයකින් සේවාදායකයට ළඟා වේ.
| Address | Who assigns it | Where it sits | Visible to the VPN server |
|---|---|---|---|
Device address, e.g. 192.168.1.24 | Your router via DHCP | Outer header, before translation | No, rewritten in place |
| Translated address and port | Router, ISP CGNAT, or both | Outer header, after translation | Yes, this is the tuple it logs |
Tunnel address, e.g. 10.8.0.6 | The VPN server itself | Inner header, after decapsulation | Yes, but it chose it |
සම්බන්ධ වන මොහොතේ අඥාත වන්නේ මැද පේළිය පමණි. සේවාදායකය එය ඩීමන් අනුව තම සහකරු වගුවට, තත්ත්ව ගොනුවට හෝ ප්‍රවාහ ලොගයට ලියයි: WireGuard එය අන්ත ලක්ෂ්‍යය ලෙස හඳුන්වයි, OpenVPN තත්ත්ව ගොනුව එය Real Address ලෙස සලකුණු කරයි, සහ strongSwan එය IKE_SA හි දුරස්ථ සත්කාරකය ලෙස වාර්තා කරයි. එම අගය වෙනත් මූලාශ්‍රයකින් පැකට්ටුවක් පැමිණි සෑම විටම නැවුම් වේ, එබැවින් කිසිවෙකු කිසිවක් නැවත ආරම්භ නොකර එය වෙනස් වේ.
පහළම පේළිය යනු මිනිසුන් වැරදියට අනන්‍යතා ප්‍රකාශයක් ලෙස කියවන දෙයයි. එය සේවාදායක වින්‍යාසයේ ස්ථානයක් සලකුණු කරයි, පුද්ගලයෙකු නොවේ, මන්ද සේවාදායකය එය තම පොකුණෙන් තෝරාගත් නිසා. පරිශීලකයන් දෙදෙනෙකුට විවිධ දිනවල එකම ටනල් ලිපිනය ලැබිය හැක, එක් අයෙකුට උපාංග දෙකකින් දෙකක් තබා ගත හැක.
ටනලය ක්‍රියාත්මකව තිබියදී ලොග් කළ ටුපල් වෙනස් වන්නේ ඇයි
ලිපින පරිවර්තනය ටයිමරයක් සහිත වගුවකි, ස්ථිර බැඳීමක් නොවේ. ගෘහ රවුටරයක් අවසාන පැකට්ටුවෙන් පසු ටික වේලාවක් තම UDP සිතියම රඳවා ගනී, ක්‍රියාකරු ගේට්ටුවක් තම කාලසටහන අනුව වරාය නැවත භාවිත කරයි, සහ Wi-Fi සිට LTE දක්වා මාරු වන දුරකථනයක් සම්පූර්ණයෙන් වෙනස් මූලාශ්‍රයක් සමඟ නැවත පැමිණේ. මෙහි Linux conntrack හි පෙරනිමි අගයන් ප්‍රයෝජනවත් මිනුමකි: nf_conntrack_udp_timeout තත්පර 30 ක් වන අතර ප්‍රවාහ ප්‍රභේදය 120 කි, එබැවින් නිහඬ ටනලයකට පරිශීලකයා දකින පෙරම සිතියම අහිමි විය හැක.
ටනලය නොනැසී පවතින්නේ ප්‍රොටෝකෝලය ලිපිනය නොව සහකරු සත්‍යාපනය කරන නිසාය. හස්ත සලාකයෙන් පසු WireGuard තත්ත්වයෙන් තොරය, එබැවින් සත්‍යාපිත ඕනෑම පැකට්ටුවක් ගබඩා කළ අන්ත ලක්ෂ්‍යය යාවත්කාලීන කරන අතර නැවත බැඳීම ඊළඟ පැකට්ටුවේදී සුව වේ; persistent-keepalive = 25 ඇත්තේ ඒ නිසාය, අක්‍රියව තිබියදී සිතියම උණුසුම්ව තබා ගැනීමට. OpenVPN හි --float ද එම කාර්යය කරන අතර සත්‍යාපිත සේවාලාභියෙකුට නව ලිපිනයකින් සහ වරායකින් ඉදිරියට යාමට ඉඩ දෙයි. float පෙරනිමියෙන් වසා ඇති 2.4 සහ 2.5 ගොඩනැගීම්වල, නැවත බැඳීම සැසිය යළි පිහිටුවන අතර සේවාලාභියා නැවත සම්බන්ධ වේ.
IPsec එහි ළඟා වන්නේ වැඩි චලනය වන කොටස් සමඟය. IKEv2 NAT අනාවරණ පේලෝඩවල මූලාශ්‍ර සහ ගමනාන්ත හැෂ් සංසන්දනය කරමින් පරිවර්තනය හඳුනාගනී, UDP 4500 ආවරණයට මාරු වේ, සහ keepalive නව ටුපල් දක්වා අනුගමනය කරයි. keepalive අවහිර වූ විට SA කඩදාසි මත ක්‍රියාත්මකව පවතින අතර එක් දිශාවක ගමනාගමනය නිශ්ශබ්දව නතර වේ.
සේවාදායකයට කුමක් ආරෝපණය කළ හැකිද, කුමක් නොකළ හැකිද
මැරීම වටිනා මිථ්‍යාව නම් පරිවර්තනය ඔබව ක්‍රියාකරුගෙන් සඟවනවා යන්නයි. එය ලේබලය වෙනස් කරයි, නිරීක්ෂණය නොවේ. ක්‍රියාකරුගේ NAT පිටුපස ඇති ගේට්ටුවක් 100.64.0.0/10 අවකාශය හෝ බොහෝ ග්‍රාහකයන් බෙදාගන්නා එක් පොදු ලිපිනයක් දකින අතර, එසේ වුවද ප්‍රවාහය සහතිකයේ විෂය, WireGuard පොදු යතුර, පවරන ලද ටනල් ලිපිනය, බයිට් ගණක සහ කාල කවුළුවක් සමඟ සම්බන්ධ කළ හැක. ඒ කිසිවකට ඔබේ LAN ලිපිනය අවශ්‍ය නොවේ.
සීමා ද ප්‍රතිවිරුද්ධ දිශාවට යයි. ලොගයේ ඇති බෙදාගත් ලිපිනයක් ගේට්ටුවක් වෙත යොමු කරයි, ගෘහයක් වෙත නොවේ; එකම පරිවර්තිත ලිපිනයෙන් විවිධ වරායවල ඇති සැසි දෙකක් විවිධ උපාංග වේ; වරාය නැවත භාවිත කළේ නම් විවිධ දින දෙකක එකම ලිපිනය සම්බන්ධයක් නැති ග්‍රාහකයන් දෙදෙනෙකු විය හැක. සහකරු යතුරු පමණක් වාර්තා කරන සේවාදායකයෙකුට ගිණුම් දත්ත සමුදායක් නොමැතිව ඒවා ග්‍රාහකයෙකු සමඟ සම්බන්ධ කළ නොහැක, ලිපින පමණක් වාර්තා කරන සේවාදායකයෙකුට එකම රවුටරය පිටුපස ලැප්ටොප් එකක් සහ දුරකථනයක් වෙන්කර හඳුනාගත නොහැක.
අනුමාන කරනවාට වඩා දෙපස සංසන්දනය කරන්න
සිදු වූයේ කුමක්ද යන්න තීරණය කිරීමට, එකම සම්බන්ධතාවය දෙපසම එකම මොහොතේ ග්‍රහණය කර ලිපිනය නොව ටුපල් සංසන්දනය කරන්න. සේවාලාභියා තුළ, ඕනෑම පරිවර්තනයකට පෙර:
ss -uapn 'dport = :51820'
ip -4 route get 203.0.113.10
wg show wg0 endpointsපසුව රවුටරයේ හෝ CGNAT ගේට්ටුවේ පරිවර්තන සටහන සහ අවසානයේ සේවාදායකයට පැමිණෙන දේ කියවන්න:
conntrack -L -p udp --dport 51820
tcpdump -ni eth0 udp port 51820බොහෝ නොගැලපීම් රටා තුනකින් විස්තර වේ. සේවාදායකයේ මූලාශ්‍ර වරාය දේශීය වරායට වඩා වෙනස් වන අතර ගමනාන්තය ගැලපේ: සාමාන්‍ය වරාය පරිවර්තනය. සේවාදායකයේ මූලාශ්‍ර ලිපිනය ඔබේ නොවන ISP කොටසකට අයත් වේ: අවම වශයෙන් එක් අමතර NAT ස්තරයක්. නිශ්චලතාවයෙන් පසු පැකට්ටු නතර වී නව වරායක් සමඟ ඉදිරියට යයි: සිතියම කල් ඉකුත් විය, රවුටින් දෝෂයක් නොවේ. කාල මුද්‍රා තත්පර එකක් හෝ දෙකකට වඩා දුරින් නම්, ඔබ විවිධ උත්සාහයන් දෙකක් සංසන්දනය කරයි.
වෙනස දේවල් කඩා දමන තැන
සේවාදායක දෝෂ ලෙස පෙනෙන බාධා සාමාන්‍යයෙන් මෙතැනින් ආරම්භ වේ. ඔබේ නිවසේ ලිපිනයට ඇමිණූ ප්‍රවේශ නියමය ISP බද්ද වෙනස් වූ පසු අසාර්ථක වේ. පරිවර්තිත ලිපිනයකට ගැලපෙන fail2ban නියමයක් එම ගේට්ටුව පිටුපස සියලු ග්‍රාහකයන් එකවර තහනම් කරයි. ස්ථිර දුරස්ථ ලිපිනයක් සහිත අඩවි-තොටුපොළ සහකරුවෙක් ජංගම සබැඳිය වෙනස් වූ පසු යතුරු අලුත් කිරීම නතර කරයි. ටනල් ප්‍රොටෝකෝලය හොඳින් තිබුණි; පිටත ටුපල් පිළිබඳ උපකල්පනය නොවීය.
එම ව්‍යාකූලත්වය සේවාදායක පැත්තේ ද දක්නට ලැබේ. VPN පෙට්ටියම NAT පිටුපස තිබේ නම් ඔබට වරාය යළි යොමු කිරීම සහ ක්‍රියාකාරී යොමු මාර්ගයක් අවශ්‍ය වේ; strongSwan යොමු මාර්ගෝපදේශය IPsec සඳහා එම අවස්ථාව ආවරණය කරයි. පෞද්ගලික ලිපිනයකින් පමණක් ළඟා විය හැකි සේවාදායකයෙක් තම සේවාලාභීන් ඉදිරිපත් කරන පරිවර්තිත ටුපල් කිසිවිටෙක නොදකී, සහ එය සේවාලාභීන් පරිවර්තනය වීමට වඩා වෙනස් ගැටලුවකි.
මෙම පරීක්ෂණ හතර අනුපිළිවෙලින් කර පළමු අසාර්ථක එකේ නවතින්න:
- දෙපසම එකම වේලාවේ ග්‍රහණය කරන්න; මූලාශ්‍ර වරාය, ගමනාන්ත වරාය සහ කාල මුද්‍රා ගැලපෙන බව තහවුරු කරන්න.
- ඔබ බලාපොරොත්තු වූ ලිපිනය නොව, සේවාදායකය දැන් තබා ගන්නා ලිපිනය සහකරු ලැයිස්තුවේ කියවන්න.
- සටහන සහ එහි ඉතිරි ආයුෂ conntrack හෝ NAT වගුවේ පරීක්ෂා කරන්න.
- සේවාලාභියාගේ ටනල් අතුරුමුහුණත් ලිපිනය LAN ලිපිනය නොව සේවාදායකය පවරන ලද ලිපිනයට ගැලපෙන බව තහවුරු කරන්න.
ග්‍රහණ දෙකම ටුපල් සම්බන්ධයෙන් එකඟ වුවත් ටනලය තවමත් අසාර්ථක නම්, පරිවර්තනය ඔබේ ගැටලුව නොවේ; හස්ත සලාකය සහ ටනලය තුළ ඇති රවුටින් වගුව වෙත යන්න.