Domači strežnik VPN ni dosegljiv: pojdite skozi verigo NAT

Strežnik odgovarja v LAN, pravilo posredovanja vrat je videti pravilno, pa se zunanji odjemalec vseeno ne more povezati. Prehod ene meje naenkrat navzven je hitrejši od četrtega urejanja pravila, ker vsaka meja pusti svoj dokaz: stran WAN na usmerjevalniku, prevod pri ponudniku in poslušalec na gostitelju. Začnite na skrbniški strani, ki jo imate že odprto, in končajte s preskusom iz omrežja, ki ga ne nadzorujete. Zapišite vsak rezultat sproti, ker je zaporedje diagnoza in zapomnjeno število ni dokaz. Če potrebujete le odhodni tunel, prevajanje ni vaša težava: blokiran je samo nezaželen vhodni promet.

Začnite na strani WAN usmerjevalnika

Prijavite se v usmerjevalnik in berite stran stanja, ne seznama posredovanj vrat. Zapišite naslov WAN, vmesnik, ki mu pripada, in ali je vrsta povezave DHCP, PPPoE ali kaj, kar zagotavlja ponudnik. Nato primerjajte ta naslov s tem, kar sporoča zunanja storitev, in uporabite telefon na mobilnih podatkih, da opazovanje ne gre nazaj skozi isti usmerjevalnik. Števili odgovarjata na različni vprašanji in njuna primerjava je ves smisel tega koraka.

Naslov WAN, ki se razlikuje od opazovanega javnega naslova, pomeni, da je nad usmerjevalnikom vsaj en prevajalnik. To še ni napaka, ker mnogi ponudniki prevajajo po zasnovi in storitev še vedno deluje. Če se oba ujemata, naslov verjetno pripada usmerjevalniku in težava se je preselila v notranjost vašega omrežja. V vsakem primeru zapišite par z datumom, ker ponudniki naslove prerazporejajo in primerjava z lanskimi zapiski je brez vrednosti.

Pojdite en skok navzgor

Zaženite traceroute z usmerjevalnika samega in preberite prvih nekaj skokov. Ponavljajoči se javni naslovi, prvi skok, ki odgovori z zasebnim naslovom, ali naslov v skupnem obsegu 100.64.0.0/10 vse kaže na prevajalnik višje. RFC 6598 opredeljuje ta obseg prav za takšno uvedbo, zato je to v polju WAN močan signal in ne zanimivost. Dva prevajalnika na poti naredita sled manj očitno, zato berite vzorec in ne ene vrstice.

Nekateri ponudniki prikažejo dodeljeni naslov le v portalu za stranke, zato poglejte tja, preden sklepate, da usmerjevalnik laže. Naslov v portalu, ki se ujema z vašim zunanjim opazovanjem, medtem ko usmerjevalnik sporoča nekaj drugega, je najjasnejši dokaz prevajalnika višje. Shranite obe strani v dnevnik sprememb, ker gre razprava o tem, komu pripada katera meja, veliko hitreje z dvema datiranima slikama.

Potrdite poslušalca in posredovanje

Preskus v LAN dokazuje, da storitev deluje lokalno, in ne dokazuje ničesar o dosegljivosti od zunaj. Mnogi usmerjevalniki odgovarjajo na lastno pravilo posredovanja od znotraj, zato preskus zanke uspe, medtem ko je zunanja pot še zaprta. Potrdite, da je demon vezan na naslov in vrata, ki jih predvidevate, nato preskusite od zunaj. Vse spodaj je le za branje.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Če zunanji preskus pokaže, da do usmerjevalnika ne pride noben paket, se je izguba zgodila višje in nobeno lokalno pravilo je ne bo popravilo. Če paketi pridejo in nič ne odgovori, je naslednja meja poslušalec ali požarni zid na gostitelju. Zajem paketov na gostitelju razreši, katero od dveh gledate, in traja manj časa kot še en krog ugibanja pravil. Med primerjanjem pustite poslušalca in njegov prenos nespremenjena, sicer bo naslednji preskus odgovoril na drugo vprašanje.

Spremenite topologijo, ne istega pravila

Ko je prevajalnik ponudnikov, je popravek druga pot in ne še eno posredovanje. Majhen VPS z javnim naslovom, povezan z odhodnim tunelom z domače strani, postavi pred storitev dosegljivo končno točko. Javni naslov, ki ga zagotovi ponudnik, je tam, kjer obstaja, preprostejši in običajno cenejši od vzdrževanja stroja. IPv6 prevajanje povsem odpravi, pod pogojem, da omrežje odjemalca, zapisi DNS in politika požarnega zidu to podpirajo.

Dinamični DNS posodablja le ime; dosegljivosti ne ustvari, in usmerjanje na skupni naslov pošlje odjemalce na prehod ponudnika, ki ga uporabljajo tudi druge stranke. Ta okvara je videti natanko kot mrtev strežnik, zato je zapis iz prejšnjih korakov pomemben. Zapišite, na kateri naslov se je ime razrešilo, ko je preskus spodletel, in odgovor shranite skupaj z rezultatom preskusa.

Prepišite načrt okoli meje, ki jo nadzorujete: poslušalca, tunela in poti. Staro posredovanje pustite na mestu le toliko časa, dokler še opisuje kaj resničnega, ker je pravilo, ki topologiji ne ustreza več, slabše od nobenega pravila. Zapišite, katera plast je v resnici blokirala in kateri dokaz je to pokazal. Sicer bo naslednja oseba, ki odpre skrbniško stran, ponovila vsak korak tega sprehoda od začetka.