Кућни VPN сервер није доступан: прођите NAT ланац

Сервер одговара на LAN-у, правило прослеђивања порта изгледа исправно, а спољни клијент ипак не може да се повеже. Прелажење једне границе по једне ка споља брже је од четвртог уређивања правила, јер свака граница оставља свој доказ: WAN страница рутера, превод провајдера и слушалац на хосту. Почните од административне стране коју већ имате отворену и завршите тестом из мреже коју не контролишете. Запишите сваки резултат успут, јер редослед јесте дијагноза, а запамћен број није доказ. Ако вам треба само одлазни тунел, превод није ваш проблем: блокира се само нежељени долазни саобраћај.

Почните од WAN странице рутера

Пријавите се на рутер и читајте страницу стања, а не листу прослеђивања портова. Забележите WAN адресу, интерфејс коме припада и да ли је тип везе DHCP, PPPoE или нешто што обезбеђује провајдер. Затим упоредите ту адресу са оним што саопштава спољна услуга, користећи телефон на мобилним подацима да се запажање не би вратило кроз исти рутер. Два броја одговарају на различита питања, а њихово поређење је цела сврха овог корака.

WAN адреса која се разликује од запажене јавне адресе значи да изнад рутера стоји бар један преводилац. То још није квар, јер многи провајдери преводе по пројекту и услуга и даље ради. Ако се две поклопе, адреса вероватно припада рутеру и проблем се преселио у унутрашњост ваше мреже. У сваком случају запишите пар са датумом, јер провајдери прерасподељују адресе и поређење са прошломесечним белешкама је безвредно.

Идите један хоп нагоре

Покрените traceroute са самог рутера и прочитајте прве хопове. Понављајуће јавне адресе, први хоп који одговара приватном адресом или адреса у заједничком опсегу 100.64.0.0/10 све указују на преводиоца изнад. RFC 6598 дефинише тај опсег управо за овакво распоређивање, зато је његово виђење у WAN пољу снажан сигнал, а не занимљивост. Два преводиоца на путу чине траг мање очигледним, па читајте образац, а не један ред.

Неки провајдери приказују додељену адресу само у корисничком порталу, зато погледајте тамо пре него што закључите да рутер лаже. Адреса у порталу која се поклапа са вашим спољним запажањем док рутер саопштава нешто друго најјаснији је доказ преводиоца изнад. Сачувајте обе странице у запису о променама, јер расправа о томе коме припада која граница иде много брже са две датиране слике.

Потврдите слушаоца и прослеђивање

Тест на LAN-у доказује да услуга ради локално и не доказује ништа о доступности споља. Многи рутери одговарају на сопствено правило прослеђивања изнутра, па тест петље успева док је спољни пут још затворен. Потврдите да је демон везан за адресу и порт које претпостављате, па тестирајте споља. Све испод је само за читање.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Ако спољни тест покаже да до рутера не стиже ниједан пакет, одбацивање се догодило изнад и ниједно локално правило то неће поправити. Ако пакети стижу а ништа не одговара, следећа граница је слушалац или заштитни зид на хосту. Хватање пакета на хосту одлучује које од двоје гледате и траје краће од још једног круга погађања правила. Држите слушаоца и његов транспорт непромењене док поредите, иначе следећи тест одговара на друго питање.

Промените топологију, а не исто правило

Када преводилац припада провајдеру, исправка је други пут, а не још једно прослеђивање. Мали VPS са јавном адресом, повезан одлазним тунелом са кућне стране, ставља достижну крајњу тачку пред услугу. Јавна адреса коју даје провајдер једноставнија је тамо где постоји и обично јефтинија од одржавања машине. IPv6 потпуно уклања превод, под условом да клијентска мрежа, DNS записи и политика заштитног зида то све подржавају.

Динамички DNS ажурира само име; не ствара доступност, а усмеравање на заједничку адресу шаље клијенте на пролаз провајдера који користе и други претплатници. Тај квар изгледа тачно као мртав сервер, зато је запис из ранијих корака важан. Забележите на коју се адресу име разрешило када је тест пао и чувајте одговор уз резултат теста.

Препишите план око границе коју контролишете: слушаоца, тунела и рута. Држите старо прослеђивање на месту само док још описује нешто истинито, јер правило које више не одговара топологији горе је од никаквог правила. Забележите који је слој заиста блокирао и који доказ је то показао. Инаце следећа особа која отвори административну страницу поновиће сваки корак ове шетње од почетка.