Dvojni NAT in vaš VPN: odjemalec deluje, strežnik ne

Vaš usmerjevalnik stoji za drugim usmerjevalnikom, naslov WAN je zaseben, odjemalec VPN pa se vseeno poveže. Ta kombinacija preseneti ljudi, ki pričakujejo, da bo dvojni NAT pokvaril tunele, a prav odhodne povezave prevajanje obvlada najbolje. Gostovanje strežnika VPN za istima dvema plastema je primer, ki običajno spodleti. Narišite smer povezave, preden karkoli spremenite.

Najprej narišite smer povezave

Odprite statusno stran notranjega usmerjevalnika in zapišite njegov naslov WAN, nato ga primerjajte z naslovom, ki vam ga sporoči katera koli javna storitev. Če se oba razlikujeta, je med vašim usmerjevalnikom in internetom vsaj en prevajalnik. Če naslov WAN pade v 100.64.0.0/10, zunanji prevajalnik verjetno pripada vašemu ponudniku in ga ne nadzorujete. Ti dve dejstvi odločata, kateri od poznejših korakov sploh lahko deluje.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Dvojni NAT ni dvojni VPN. Prevajanje prepisuje naslove in vrata; ne doda drugega šifriranega tunela in ničesar ne šifrira. Ločevanje obeh zamisli je pomembno, ker so rešitve povsem drugačne in ena od njih zahteva pogovor s ponudnikom namesto strani z nastavitvami.

Odhodno: odjemalec vpraša, prevajalniki preslikajo

Odhodni tunel se začne s paketom z vašega računalnika, zato lahko vsak prevajalnik ustvari preslikavo in spusti odgovor nazaj. Protokol, vrata in časovniki nedejavnosti odločajo, ali bo ta preslikava preživela dovolj dolgo, da bo uporabna. Večina potrošniških usmerjevalnikov to reši brez kakršne koli konfiguracije.

Napake, ki se res pojavijo, se običajno nanašajo na časovne omejitve in podporo protokolom, ne na število usmerjevalnikov. Tunel, ki pade po nekaj minutah tišine, je preslikava, ki poteče, in keepalive je običajen odgovor. IPsec ima standardne razširitve NAT-traversal, zato je trditev, da ne more prečkati prevajanja, preprosto napačna. Če se tunel sploh ne vzpostavi, poglejte končno točko in poverilnice, preden krivite topologijo.

wg show
ping -c3 10.8.0.1

Ustavite se, če odhodni tunel deluje iz enega omrežja in ne iz drugega. Ta primerjava je o omrežjih, ne o številu usmerjevalnikov.

Prihodno: posredovanje pokriva le opremo, ki jo imate v lasti

Gostovanje strežnika je nasprotna smer: nova povezava prispe iz interneta in mora priti do vašega računalnika skozi vsako plast. Pravilo posredovanja vrat na notranjem usmerjevalniku pomaga le, če tudi zunanji prevajalnik dostavi ta promet vam. Ponavljanje lokalnega pravila vam ne daje nadzora nad opremo ponudnika.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Primerjajte naslov WAN notranjega usmerjevalnika z javnim naslovom, ki ste ga opazili, in zapišite, od kod prihaja vsaka vrednost. Če je naslov WAN zaseben ali v skupnem obsegu, zunanja plast izvaja prevajanje, ki ga ne morete konfigurirati. Vprašajte ponudnika, kakšno prihodnjo dosegljivost podpira, preden preživite cel večer s pravili, ki ne morejo začeti veljati. Odstranitev usmerjevalnika ali široko izklop požarnega zidu ni diagnoza in je slaba menjava za ena odprta vrata.

Ustavite se, če je zunanja plast ponudnikova in ne posreduje. Takrat so podprti odgovori druga metoda dostopa ali rele, ne pa še eno pravilo na vaši strani.

Preizkusite eno spremenljivko naenkrat

Spremenite eno stvar na preizkus in zapišite rezultat, ker ima pot z dvojnim NAT več spremenljivk kot pot z enim usmerjevalnikom. Držite profil in napravo nespremenjena, nato primerjajte drugo dostopno omrežje. Zabeležite, ali pogajanja spodletijo, ali seja pade po nedejavnosti ali ali spodletijo le zasebni cilji. Ta tri opažanja kažejo na tri različne plasti.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Prekrivajoča se zasebna podomrežja so ločena past, ki je nobena količina prevajanja ne odpravi. Če vaše domače omrežje in oddaljeno omrežje uporabljata isti obseg, se pojavi konflikt poti ne glede na to, koliko prevajalnikov je vmes. Prenumeriranje ene strani je edini trajni odgovor.

Oddaljeni prehod si zasluži enako pozornost, ker so njegova pravila posredovanja in povratne poti lahko manjkajoči del. Tunel, ki se overi, lahko še vedno nima uporabne poti za aplikacije, in ta okvara je z odjemalčeve strani videti enako. Sprehod se konča, ko lahko rečete, katera smer spodleti in katera plast je zanjo odgovorna.