Serveri VPN i shtëpisë i paarritshëm: kalo zinxhirin NAT

Serveri përgjigjet në LAN, rregulli i ridrejtimit të portës duket i saktë, e megjithatë një klient i jashtëm nuk mund të lidhet. Kalimi i një kufiri në një herë drejt jashtë është më i shpejtë sesa redaktimi i katërt i rregullit, sepse çdo kufi lë provën e vet: faqja WAN e ruterit, përkthimi i ofruesit dhe dëgjuesi në host. Filloni nga faqja e administrimit që e keni tashmë të hapur dhe përfundoni me një provë nga një rrjet që nuk e kontrolloni. Shkruani çdo rezultat ndërsa ecni, sepse sekuenca është diagnoza dhe një numër i mbajtur mend nuk është provë. Nëse keni nevojë vetëm për një tunel dalës, përkthimi nuk është problemi juaj: bllokohet vetëm trafiku hyrës i pakërkuar.

Filloni nga faqja WAN e ruterit

Hyni në ruter dhe lexoni faqen e statusit, jo listën e ridrejtimit të portave. Shënoni adresën WAN, ndërfaqen të cilës i përket dhe nëse lloji i lidhjes është DHCP, PPPoE ose diçka që e siguron ofruesi. Pastaj krahasojeni atë adresë me atë që raporton një shërbim i jashtëm, duke përdorur një telefon me të dhëna celulare që vëzhgimi të mos kthehet përmes të njëjtit ruter. Dy numrat i përgjigjen pyetjeve të ndryshme, dhe krahasimi i tyre është i gjithë qëllimi i këtij hapi.

Një adresë WAN që ndryshon nga adresa publike e vëzhguar do të thotë se të paktën një përkthyes ndodhet mbi ruterin. Kjo nuk është ende defekt, sepse shumë ofrues përkthejnë sipas projektimit dhe shërbimi vazhdon të funksionojë. Nëse të dyja përputhen, adresa ndoshta i takon ruterit dhe problemi është zhvendosur brenda rrjetit tuaj. Në çdo rast shënoni çiftin me datë, sepse ofruesit i ricaktojnë adresat dhe krahasimi me shënimet e muajit të kaluar nuk vlen.

Ngjituni një hop lart

Ekzekutoni traceroute nga vetë ruteri dhe lexoni hop-et e para. Adresat publike të përsëritura, një hop i parë që përgjigjet me adresë private ose një adresë brenda intervalit të përbashkët 100.64.0.0/10 të gjitha tregojnë një përkthyes më lart. RFC 6598 e përcakton atë interval pikërisht për këtë lloj vendosjeje, prandaj ta shohësh në fushën WAN është sinjal i fortë dhe jo kuriozitet. Dy përkthyes në rrugë e bëjnë gjurmën më pak të dukshme, pra lexoni modelin dhe jo një rresht.

Disa ofrues e shfaqin adresën e caktuar vetëm në portalin e klientit, prandaj shikoni atje përpara se të përfundoni që ruteri gënjen. Një adresë në portal që përputhet me vëzhgimin tuaj të jashtëm, ndërkohë që ruteri raporton diçka tjetër, është prova më e qartë e një përkthyesi më lart. Ruani të dyja faqet në regjistrin e ndryshimeve, sepse debati se kujt i takon cili kufi shkon shumë më shpejt me dy imazhe të datuara.

Konfirmoni dëgjuesin dhe ridrejtimin

Një provë në LAN vërteton që shërbimi punon lokalisht dhe nuk vërteton asgjë për arritshmërinë nga jashtë. Shumë ruterë i përgjigjen rregullit të tyre të ridrejtimit nga brenda, kështu që një provë me lak kalon ndërsa rruga e jashtme është ende e mbyllur. Konfirmoni që demoni është i lidhur me adresën dhe portën që supozoni, pastaj provoni nga jashtë. Gjithçka më poshtë është vetëm për lexim.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Nëse prova e jashtme tregon se asnjë paketë nuk arrin në ruter, rënia ndodhi më lart dhe asnjë rregull lokal nuk e rregullon. Nëse paketat arrijnë dhe asgjë nuk përgjigjet, kufiri tjetër është dëgjuesi ose muri i zjarrit i hostit. Kapja e paketave në host vendos se cilin nga të dy po shikoni, dhe merr më pak kohë sesa një raund tjetër hamendjesh mbi rregullat. Mbajeni dëgjuesin dhe transportin e tij të pandryshuar ndërsa krahasoni, përndryshe prova tjetër përgjigjet një pyetjeje tjetër.

Ndryshoni topologjinë, jo të njëjtin rregull

Kur përkthyesi është i ofruesit, rregullimi është një rrugë tjetër dhe jo një ridrejtim tjetër. Një VPS i vogël me adresë publike, i lidhur me një tunel dalës nga ana e shtëpisë, vendos një pikë fundore të arritshme përpara shërbimit. Një adresë publike e dhënë nga ofruesi është më e thjeshtë aty ku ekziston dhe zakonisht më e lirë sesa të drejtosh një makinë. IPv6 e heq përkthimin plotësisht, me kusht që rrjeti i klientit, regjistrimet DNS dhe politika e murit të zjarrit ta mbështesin.

DNS dinamik përditëson vetëm një emër; nuk krijon arritshmëri, dhe drejtimi i tij nga një adresë e përbashkët i dërgon klientët në një portë të ofruesit që përdorin edhe abonentë të tjerë. Ai dështim duket saktësisht si një server i vdekur, prandaj regjistri i hapave të mëparshëm ka rëndësi. Shënoni në cilën adresë u zgjidh emri kur prova dështoi, dhe mbajeni përgjigjen bashkë me rezultatin e provës.

Rishkruani planin rreth kufirit që kontrolloni: dëgjuesi, tuneli dhe rrugët. Mbajeni ridrejtimin e vjetër vetëm sa kohë përshkruan ende diçka të vërtetë, sepse një rregull që nuk përputhet më me topologjinë është më i keq se sa asnjë rregull. Shënoni cila shtresë po bllokonte në të vërtetë dhe cila provë e tregoi. Përndryshe personi tjetër që hap faqen e administrimit do të përsëritë çdo hap të këtij ecjeje nga fillimi.