Domáci VPN server nie je dostupný: prejdite NAT reťazec

Server odpovedá v LAN, pravidlo presmerovania portu vyzerá správne, a napriek tomu sa externý klient nevie pripojiť. Prechádzanie jednej hranice po druhej smerom von je rýchlejšie ako štvrtá úprava pravidla, pretože každá hranica zanecháva svoj vlastný dôkaz: stránka WAN na smerovači, preklad u poskytovateľa a naslúchajúca služba na hostiteľovi. Začnite na administračnej stránke, ktorú už máte otvorenú, a skončite testom zo siete, ktorú nekontrolujete. Zapisujte každý výsledok priebežne, pretože postupnosť je diagnóza a zapamätané číslo nie je dôkaz. Ak potrebujete len odchádzajúci tunel, preklad nie je váš problém: blokuje sa iba nevyžiadaná prichádzajúca prevádzka.

Začnite na stránke WAN smerovača

Prihláste sa do smerovača a čítajte stránku stavu, nie zoznam presmerovaní portov. Poznamenajte si adresu WAN, rozhranie, ku ktorému patrí, a či je typ pripojenia DHCP, PPPoE alebo niečo, čo poskytuje poskytovateľ. Potom túto adresu porovnajte s tým, čo hlási externá služba, a použite telefón s mobilnými dátami, aby pozorovanie nešlo späť cez ten istý smerovač. Dve čísla odpovedajú na rôzne otázky a ich porovnanie je celý zmysel tohto kroku.

Adresa WAN odlišná od pozorovanej verejnej adresy znamená, že nad smerovačom stojí aspoň jeden preklad. Ešte to nie je porucha, pretože mnohí poskytovatelia prekladajú zámerne a služba napriek tomu funguje. Ak sa obe zhodujú, adresu pravdepodobne vlastní smerovač a problém sa presunul dovnútra vašej siete. V každom prípade si dvojicu zapíšte s dátumom, pretože poskytovatelia adresy prerozdeľujú a porovnanie s poznámkami z minulého mesiaca nemá cenu.

Choďte o jeden skok vyššie

Spustite traceroute priamo zo smerovača a prečítajte prvé skoky. Opakované verejné adresy, prvý skok, ktorý odpovedá privátnou adresou, alebo adresa v zdieľanom rozsahu 100.64.0.0/10 to všetko ukazuje na preklad vyššie. RFC 6598 definuje tento rozsah práve pre takéto nasadenie, a preto je jeho výskyt v poli WAN silný signál, nie zaujímavosť. Dva preklady na ceste robia stopu menej zrejmou, preto čítajte vzor, nie jeden riadok.

Niektorí poskytovatelia zobrazujú pridelenú adresu len v zákazníckom portáli, tak sa tam pozrite, skôr než uzavriete, že smerovač klame. Adresa v portáli, ktorá sa zhoduje s vaším externým pozorovaním, zatiaľ čo smerovač hlási niečo iné, je najjasnejší dôkaz prekladu vyššie. Uložte obe stránky do záznamu zmien, pretože spor o to, komu patrí ktorá hranica, ide oveľa rýchlejšie s dvoma datovanými snímkami.

Potvrďte naslúchajúcu službu a presmerovanie

Test v LAN dokazuje, že služba funguje lokálne, a nedokazuje nič o dostupnosti zvonku. Mnohé smerovače odpovedajú na vlastné pravidlo presmerovania zvnútra, takže test slučky prejde, pričom vonkajšia cesta je stále zatvorená. Potvrďte, že démon je viazaný na adresu a port, ktoré predpokladáte, a potom testujte zvonku. Všetko nižšie je len na čítanie.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Ak externý test ukáže, že na smerovač neprichádza žiadny paket, k zahodeniu došlo vyššie a žiadne miestne pravidlo to nespraví. Ak pakety prichádzajú a nič neodpovedá, ďalšou hranicou je naslúchajúca služba alebo firewall na hostiteľovi. Zachytenie paketov na hostiteľovi rozhodne, na ktorú z tých dvoch sa pozeráte, a zaberie menej času než ďalšie kolo hádania pravidiel. Pri porovnávaní nechajte službu aj jej transport bez zmeny, inak ďalší test odpovie na inú otázku.

Zmeňte topológiu, nie to isté pravidlo

Keď preklad patrí poskytovateľovi, opravou je iná cesta, nie ďalšie presmerovanie. Malý VPS s verejnou adresou, pripojený odchádzajúcim tunelom z domácej strany, stavia pred službu dostupný koncový bod. Verejná adresa od poskytovateľa je tam, kde existuje, jednoduchšia a zvyčajne lacnejšia než prevádzka stroja. IPv6 preklad úplne odstráni, ak klientská sieť, záznamy DNS aj politika firewallu všetko podporujú.

Dynamické DNS aktualizuje len meno; dostupnosť nevytvára, a nasmerovanie na zdieľanú adresu pošle klientov na bránu poskytovateľa, ktorú používajú aj iní zákazníci. Taká porucha vyzerá presne ako mŕtvy server, a preto je záznam z predchádzajúcich krokov dôležitý. Poznamenajte, na akú adresu sa meno preložilo, keď test zlyhal, a odpoveď uchovajte spolu s výsledkom testu.

Prepíšte plán okolo hranice, ktorú ovládate: naslúchajúca služba, tunel a trasy. Staré presmerovanie nechajte na mieste len dovtedy, kým ešte opisuje niečo pravdivé, pretože pravidlo, ktoré už topológii nezodpovedá, je horšie než žiadne pravidlo. Zapíšte, ktorá vrstva skutočne blokovala a aký dôkaz to ukázal. Inak ďalší človek, ktorý otvorí administračnú stránku, zopakuje každý krok tejto prechádzky od začiatku.