Pse një server VPN pas CGNAT nuk pranon kurrë lidhje

Ruteri raporton një adresë WAN që fillon me 100.72, emri DNS dinamik zgjidhet në një adresë tjetër publike dhe serveri VPN në atë ruter nuk përfundon kurrë një shtrëngim duarsh nga jashtë. Përcjellja e porteve është konfiguruar, shërbimi po punon dhe një test nga LAN-i vazhdon të funksionojë. Asgjë në regjistrin e ruterit nuk duket si gabim. Ai kombinim është NAT i nivelit të operatorit dhe asnjë rregull firewalls nuk mund të hapë një port në një adresë që e mban ISP-ja.

Konfirmimi i adresës së përbashkët zgjat dy minuta dhe parandalon një javë ndryshime konfigurimi.

Shenjat që tregojnë për NAT-in e operatorit

Krahasoni adresën WAN në faqen e statusit të ruterit me adresën që raporton një kërkim i jashtëm. Një adresë WAN brenda 100.64.0.0/10 është shenja e zakonshme, dhe intervalet private 10/8, 172.16/12 dhe 192.168/16 nënkuptojnë të njëjtën gjë. Nëse traceroute shfaq të njëjtin kërcim publik të përsëritur, ose një kërcim i hershëm përgjigjet me një adresë private, midis ruterit dhe internetit qëndron një përkthyes tjetër. Disa ISP e listojnë adresën e caktuar vetëm në portalin e klientit, prandaj eksportoni atë vlerë bashkë me traceroute.

Ndërrimi i protokolleve ose portave nuk ndihmon, sepse problemi është arritshmëria hyrëse dhe jo një port i mbyllur.

Pse përcjellja dhe DNS dinamik nuk mund ta rregullojnë

Një rregull i përcjelljes së portës harton një port në ndërfaqen WAN të ruterit, por trafiku hyrës nuk arrin kurrë në atë ndërfaqe: ISP e përkthen fillimisht dhe përcjell vetëm atë që lejon tabela e vet. Publikimi i adresës së përbashkët në DNS dinamik i drejton klientët drejt një portë të ISP-së që përdoret nga shumë abonentë, prandaj emri zgjidhet dhe shtrëngimi i duarve prapë dështon. Testet hairpin ia dalin sepse ruteri i përgjigjet rregullit të vet nga brenda, dhe UPnP ka saktësisht të njëjtën pikë të verbër.

As rikonfigurimi i klientit nuk do të ndihmojë, sepse dështimi ndodh përpara se të lexohet çdo cilësim i klientit.

Përcillni përmes një VPS me rrugë të qarta

Vendosni një adresë publike përpara duke marrë me qira VPS-në më të vogël që mund të mbajë trafikun, më pas bëni ruterin e shtëpisë të lidhet dalësisht me të. UDP dalës nga rrjeti i shtëpisë kalon NAT-in e operatorit, kështu që tuneli krijohet nga brenda dhe VPS bëhet pika e fundit e arritshme. Ana e shtëpisë bëhet një klient me adresë tuneli fikse, jo një server.

Në VPS, shtoni një zë regjistri specifik për klientin që serveri të dijë cili peer zotëron nënrrjetin e shtëpisë, dhe shtoni një rrugë kernel që përputhet.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

Rreshti iroute i thotë OpenVPN cili klient merr trafikun për nënrrjetin e shtëpisë; rreshti route e vendos atë nënrrjet në tabelën e kernelit të VPS që paketat të hyjnë në tunel. Për një shërbim të publikuar, shtoni një rregull NAT destinacioni që përcjell portën publike në 10.8.0.10 dhe aktivizoni net.ipv4.ip_forward.

Testoni rrugën nga jashtë

Verifikoni çdo kërcim në anën publike, sepse një tunel i suksesshëm nuk provon që shërbimi është i arritshëm. Statusi i dëgjimit dhe kapja e paketave në VPS ndajnë 'asgjë nuk erdhi' nga 'erdhi dhe u hodh'.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Nëse kapja tregon paketa nga telefoni por asnjë përgjigje, ndalesa tjetër është konfigurimi i serverit ose firewalls. Nëse kapja nuk tregon asgjë, klienti vazhdon të zgjidhë ose po dërgon në adresën e gabuar.

Alternativa që ia vlen të çmohen fillimisht

Një adresë IPv4 e dedikuar nga ISP është zgjidhja më e shkurtër dhe zakonisht një tarifë e vogël mujore. IPv6 vendas heq përkthimin në të dy skajet kur VPN, rrjeti i klientit dhe regjistrimet DNS e mbështesin të gjithë. Një shtresë mesh me një ruter nënrrjeti brenda rrjetit të shtëpisë arrin të njëjtën përcjellje pa VPS, por me koston e varësisë nga një shërbim koordinimi.

Zgjidhni përcjelljen kur kërkesa është akses hyrës i qëndrueshëm dhe çdo rregull duhet të mbetet nën kontrollin tuaj. Zgjidhni adresën e ISP-së kur buxheti e lejon dhe qëllimi është thjesht të mos mendoni më për të.