Двоструки NAT и ваш VPN: клијент ради, сервер не

Два рутера која преводе адресе ретко заустављају одлазни VPN клијент. Хостовање сервера иза њих је теже, посебно када је спољни слој NAT оператерског нивоа.

Ваш рутер стоји иза другог рутера, WAN адреса је приватна, а VPN клијент се ипак повезује. Та комбинација изненађује људе који очекују да ће двоструки NAT покварити тунеле, али управо одлазне везе превод најбоље обрађује. Хостовање VPN сервера иза истих тих двају слојева је случај који обично пропада. Нацртајте смер везе пре него што било шта промените.

Прво нацртајте смер везе

Отворите статусну страницу унутрашњег рутера и запишите његову WAN адресу, па је упоредите са адресом коју вам пријави нека јавна услуга. Ако се две разликују, између вашег рутера и интернета стоји барем један преводилац. Ако WAN адреса пада унутар 100.64.0.0/10, спољни преводилац вероватно припада вашем провајдеру и ви га не контролишете. Те две чињенице одлучују који од каснијих корака уопште може успети.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Двоструки NAT није двоструки VPN. Превод преписује адресе и портове; он не додаје други шифровани тунел и ништа не шифрује. Раздвајање тих двеју идеја је важно јер су решења потпуно различита, а једно од њих укључује разговор са вашим провајдером, а не страницу са поставкама.

Одлазни смер: клијент пита, преводиоци мапирају

Одлазни тунел почиње пакетом са ваше машине, па сваки преводилац може створити мапирање и пустити одговор натраг. Протокол, порт и тајмери мировања одлучују хоће ли то мапирање преживети довољно дуго да буде корисно. Већина потрошачких рутера то решава без икакве конфигурације.

Кварови који се заиста појављују обично се тичу временских ограничења и подршке за протоколе, а не броја рутера. Тунел који падне након неколико минута тишине је мапирање које истиче, а keepalive је стандардни одговор. IPsec има стандардна NAT-traversal проширења, па је тврдња да не може проћи кроз превод једноставно нетачна. Ако се тунел уопште не успостави, погледајте крајњу тачку и акредитиве пре него што окривите топологију.

wg show
ping -c3 10.8.0.1

Зауставите се ако одлазни тунел ради са једне мреже, а са друге не. То поређење се односи на мреже, а не на број рутера.

Долазни смер: прослеђивање покрива само опрему коју поседујете

Хостовање сервера је обрнут смер: нова веза долази са интернета и мора доћи до ваше машине кроз сваки слој. Правило за прослеђивање порта на унутрашњем рутеру помаже само ако и спољни преводилац тај саобраћај достави вама. Понављање локалног правила не даје контролу над опремом провајдера.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Упоредите WAN адресу унутрашњег рутера са јавном адресом коју сте приметили и забележите одакле долази свака вредност. Ако је WAN адреса приватна или у дељеном опсегу, спољни слој обавља превод који не можете конфигурисати. Питајте провајдера коју долазну доступност подржава пре него што потрошите целу вечер на правила која не могу ступити на снагу. Уклањање рутера или широко искључивање заштитног зида није дијагноза и лоша је трговина за један отворени порт.

Зауставите се ако спољни слој припада провајдеру и не прослеђује. Тада су подржани одговори други начин приступа или реле, а не још једно правило на вашој страни.

Тестирајте једну променљиву одједном

Мењајте једну ствар по тесту и бележите резултат, јер пут са двоструким NAT-ом има више променљивих од пута са једним рутером. Држите профил и уређај фикснима, па упоредите другу приступну мрежу. Забележите да ли преговори не успевају, да ли сесија пада након мировања или да ли не успевају само приватна одредишта. Та три запажања упућују на три различита слоја.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Преклапајуће приватне подмреже су одвојена замка коју никаква количина превода не исправља. Ако ваша кућна мрежа и удаљена мрежа користе исти опсег, сукоб рута се појављује без обзира на то колико преводилаца стоји између. Пренумерација једне стране једини је трајан одговор.

Удаљени гејтвеј заслужује исту пажњу, јер његова правила прослеђивања и повратне руте могу бити део који недостаје. Тунел који прође аутентификацију и даље може немати употребљиву путању за апликације, а тај квар са клијентске стране изгледа идентично. Шетња се завршава када можете рећи који смер не ради и који слој је за њега одговоран.

Повезани чланци