NAT maradufu na VPN yako: mteja anafanya kazi, seva haifanyi

Ruta yako iko nyuma ya ruta nyingine, anwani ya WAN ni ya faragha, na mteja wa VPN bado anajiunga. Mchanganyiko huo huwashangaza wale wanaotarajia NAT maradufu kuvunja vichuguu, lakini tafsiri hushughulikia vyema zaidi miunganisho inayotoka. Kukaribisha seva ya VPN nyuma ya tabaka hizo mbili ndiyo hali ambayo kwa kawaida hushindikana. Chora mwelekeo wa muunganisho kabla ya kubadilisha kitu chochote.

Kwanza chora mwelekeo wa muunganisho

Fungua ukurasa wa hali wa ruta ya ndani na uandike anwani yake ya WAN, kisha ulinganishe na anwani ambayo huduma ya umma inakuripoti. Ikiwa zote mbili zinatofautiana, kuna angalau mtafsiri mmoja kati ya ruta yako na intaneti. Ikiwa anwani ya WAN iko ndani ya 100.64.0.0/10, mtafsiri wa nje huenda ni wa mtoa huduma wako, na huwezi kuudhibiti. Mambo haya mawili huamua ni hatua gani ya baadaye inaweza kufanya kazi.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

NAT maradufu si VPN maradufu. Tafsiri huandika upya anwani na bandari; haiongezi kichuguu cha pili kilichosimbwa, na haisimbi kitu. Kutenganisha mawazo haya mawili ni muhimu kwa sababu suluhisho ni tofauti kabisa, na moja yao inahitaji mazungumzo na mtoa huduma wako badala ya ukurasa wa mipangilio.

Inayotoka: mteja anauliza, watafsiri wanapanga ramani

Kichuguu kinachotoka huanza na pakiti kutoka kwa mashine yako, kwa hivyo kila mtafsiri anaweza kuunda ramani na kuruhusu jibu kuingia tena. Itifaki, bandari na vipima muda vya kutokufanya kazi huamua ikiwa ramani hiyo inadumu vya kutosha kuwa muhimu. Ruta nyingi za watumiaji hushughulikia hili bila usanidi wowote.

Hitilafu zinazoonekana kwa kweli kwa kawaida huhusiana na muda wa kuisha na msaada wa itifaki, si idadi ya ruta. Kichuguu kinachoanguka baada ya dakika chache za ukimya ni ramani inayoisha, na keepalive ni jibu la kawaida. IPsec ina viendelezi vya kawaida vya NAT-traversal, kwa hivyo kudai kwamba haiwezi kuvuka tafsiri ni makosa kabisa. Ikiwa kichuguu hakiundwi kabisa, angalia mwisho na vitambulisho kabla ya kulaumu topolojia.

wg show
ping -c3 10.8.0.1

Simama ikiwa kichuguu kinachotoka kinafanya kazi kutoka mtandao mmoja na si mwingine. Ulinganisho huo unahusu mitandao, si idadi ya ruta.

Kinachoingia: uelekezaji unashughulikia tu vifaa unavyomiliki

Kukaribisha seva ni mwelekeo kinyume: muunganisho mpya unafika kutoka intaneti na lazima ufikie mashine yako kupitia kila tabaka. Sheria ya uelekezaji wa bandari kwenye ruta ya ndani husaidia tu ikiwa mtafsiri wa nje pia anakuletea trafiki hiyo. Kurudia sheria ya ndani hakukupi udhibiti wa vifaa vya mtoa huduma.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Linganisha anwani ya WAN ya ruta ya ndani na anwani ya umma uliyoiona, na uandike kila thamani ilikotoka. Ikiwa anwani ya WAN ni ya faragha au iko katika masafa ya pamoja, tabaka la nje linafanya tafsiri ambayo huwezi kusanidi. Muulize mtoa huduma ni upatikanaji gani wa ndani anaotegemeza kabla ya kutumia jioni nzima kwenye sheria ambazo haziwezi kuanza kutumika. Kuondoa ruta au kuzima firewall kwa upana si utambuzi, na ni kubadilishana vibaya kwa bandari moja iliyo wazi.

Simama ikiwa tabaka la nje ni la mtoa huduma na halipeleki. Basi majibu yanayotegemezwa ni njia nyingine ya ufikiaji au relay, si sheria nyingine upande wako.

Jaribu kigezo kimoja kwa wakati mmoja

Badilisha kitu kimoja kwa kila jaribio na uandike matokeo, kwa sababu njia ya NAT maradufu ina vigezo zaidi kuliko njia ya ruta moja. Weka wasifu na kifaa bila kubadilika, kisha linganisha mtandao mwingine wa ufikiaji. Angalia ikiwa majadiliano yanashindikana, ikiwa kipindi kinaanguka baada ya kutokufanya kazi, au ikiwa ni maeneo ya faragha pekee yanayoshindikana. Uchunguzi huo tatu unaonyesha tabaka tatu tofauti.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Subneti za faragha zinazopishana ni mtego tofauti ambao hakuna kiasi cha tafsiri kinachotengeneza. Ikiwa mtandao wako wa nyumbani na mtandao wa mbali vinatumia masafa sawa, mgongano wa njia unaonekana bila kujali watafsiri wangapi wako kati. Kupanua nambari upande mmoja ndilo jibu pekee la kudumu.

Lango la mbali linastahili umakini sawa, kwa sababu sheria zake za uelekezaji na njia za kurudi zinaweza kuwa kipande kinachokosekana. Kichuguu kinachothibitisha kinaweza bado kuwa hakina njia ya programu inayoweza kutumika, na hitilafu hiyo inaonekana sawa kutoka upande wa mteja. Matembezi yanaisha unapoweza kusema mwelekeo upi unashindikana na tabaka lipi linamiliki.