Kwa nini seva ya VPN iliyo nyuma ya CGNAT haikubali muunganisho kamwe

Anwani ya 100.64, jina la DNS linalobadilika linalotatuliwa mahali pengine na kukosekana kwa makubaliano ya kuingia ni tatizo moja: NAT ya mtoa huduma. Thibitisha, kisha sambaza trafiki inayotoka kupitia relay.

Kipanga njia huripoti anwani ya WAN inayoanza na 100.72, jina la DNS linalobadilika hutatuliwa hadi anwani nyingine ya umma, na seva ya VPN kwenye kipanga njia hicho haikamilishi kamwe makubaliano kutoka nje. Usambazaji wa bandari umesanidiwa, huduma inaendesha, na jaribio kutoka LAN bado linafanya kazi. Hakuna kinachoonekana kama hitilafu katika kumbukumbu ya kipanga njia. Mchanganyiko huo ni NAT ya kiwango cha mtoa huduma, na hakuna kanuni ya firewall inayoweza kufungua bandari kwenye anwani ambayo ISP inaikalia.

Kuthibitisha anwani inayoshirikiwa huchukua dakika mbili na huzuia mabadiliko ya usanidi ya wiki moja.

Ishara zinazoelekeza kwenye NAT ya mtoa huduma

Linganisha anwani ya WAN kwenye ukurasa wa hali wa kipanga njia na anwani inayoripotiwa na utafutaji wa nje. Anwani ya WAN ndani ya 100.64.0.0/10 ni ishara ya kawaida, na safu za kibinafsi 10/8, 172.16/12 na 192.168/16 zinamaanisha kitu kimoja. Ikiwa traceroute inaonyesha hop moja ya umma ikirudiwa, au hop ya awali inajibu kwa anwani ya kibinafsi, kuna mtafsiri mwingine kati ya kipanga njia na intaneti. ISP zingine huorodhesha anwani iliyotolewa tu katika lango la mteja, kwa hivyo hamisha thamani hiyo pamoja na traceroute.

Kubadilisha itifaki au bandari hakusaidii, kwa sababu tatizo ni ufikikaji wa kuingia na si bandari iliyofungwa.

Kwa nini usambazaji na DNS inayobadilika haziwezi kuirekebisha

Kanuni ya usambazaji wa bandari huweka bandari kwenye kiolesura cha WAN cha kipanga njia, lakini trafiki inayoingia haifiki kamwe kwenye kiolesura hicho: ISP hutafsiri kwanza na husambaza tu kile jedwali lake linavyoruhusu. Kuchapisha anwani inayoshirikiwa katika DNS inayobadilika huwaelekeza wateja kwenye lango la ISP linalotumiwa na wateja wengi, ndiyo sababu jina hutatuliwa na makubaliano bado yanashindikana. Majaribio ya hairpin hufaulu kwa sababu kipanga njia hujibu kanuni yake mwenyewe kutoka ndani, na UPnP ina sehemu ile ile isiyoonekana.

Kusanidi upya mteja pia hakutasaidia, kwa sababu hitilafu hutokea kabla ya mpangilio wowote wa mteja kusomwa.

Sambaza kupitia VPS na njia zilizo wazi

Weka anwani ya umma mbele kwa kukodisha VPS ndogo zaidi inayoweza kubeba trafiki, kisha fanya kipanga njia cha nyumbani kiite kuelekea huko. UDP inayotoka kwenye mtandao wa nyumbani hupita NAT ya mtoa huduma, kwa hivyo handaki hujengwa kutoka ndani na VPS inakuwa kituo cha mwisho kinachofikika. Upande wa nyumbani unakuwa mteja mwenye anwani ya handaki isiyobadilika, si seva.

Kwenye VPS, ongeza ingizo la saraka maalum kwa mteja ili seva ijue peer gani inamiliki subnet ya nyumbani, na ongeza njia ya kernel inayolingana.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

Mstari wa iroute humwambia OpenVPN mteja gani anapokea trafiki ya subnet ya nyumbani; mstari wa route huweka subnet hiyo kwenye jedwali la kernel la VPS ili pakiti ziingie kwenye handaki. Kwa huduma iliyochapishwa, ongeza kanuni ya NAT ya lengwa inayosambaza bandari ya umma hadi 10.8.0.10 na washa net.ipv4.ip_forward.

Jaribu njia kutoka nje

Thibitisha kila hop upande wa umma, kwa sababu handaki iliyofaulu haithibitishi kuwa huduma inafikika. Hali ya kusikiliza na kunasa pakiti kwenye VPS hutenganisha 'hakuna kilichofika' na 'kilifika na kikutupwa'.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Ikiwa unasa kunaonyesha pakiti kutoka simu lakini hakuna jibu, kituo kinachofuata ni usanidi wa seva au firewall. Ikiwa unasa hauonyeshi chochote, mteja bado anatatua au anatuma kwenye anwani isiyo sahihi.

Njia mbadala zinazofaa kupimwa bei kwanza

Anwani maalum ya IPv4 kutoka ISP ni suluhisho fupi zaidi na kwa kawaida ni ada ndogo ya kila mwezi. IPv6 asilia huondoa utafsiri kwenye ncha zote mbili wakati VPN, mtandao wa mteja na rekodi za DNS zote zinaihimili. Safu ya mesh yenye kipanga njia cha subnet ndani ya mtandao wa nyumbani hufikia usambazaji huo bila VPS, lakini kwa gharama ya kutegemea huduma ya uratibu.

Chagua usambazaji wakati hitaji ni ufikiaji thabiti wa kuingia na kila kanuni inapaswa kubaki chini ya udhibiti wako. Chagua anwani ya ISP wakati bajeti inaruhusu na lengo ni kuacha kufikiria kuhusu hilo.

Makala zinazohusiana