CGNAT-க்குப் பின்னால் உள்ள VPN சேவையகம் ஏன் எப்போதும் இணைப்புகளை ஏற்காது

திசைவி 100.72 இல் தொடங்கும் WAN முகவரியைத் தெரிவிக்கிறது, மாறும் DNS பெயர் வேறு பொது முகவரிக்குத் தீர்க்கப்படுகிறது, மேலும் அந்த திசைவியின் VPN சேவையகம் வெளியிலிருந்து கைக்குலுக்கலை எப்போதும் முடிக்காது. போர்ட் ஃபார்வேர்டிங் அமைக்கப்பட்டுள்ளது, சேவை இயங்குகிறது, LAN இலிருந்து சோதனை இன்னும் வேலை செய்கிறது. திசைவி பதிவில் பிழை போல எதுவும் தெரியவில்லை. அந்தக் கலவை கேரியர்-தர NAT ஆகும், மேலும் ISP வைத்திருக்கும் முகவரியில் எந்த ஃபயர்வால் விதியும் போர்ட்டைத் திறக்க முடியாது.

பகிரப்பட்ட முகவரியை உறுதிப்படுத்த இரண்டு நிமிடங்கள் ஆகும், ஒரு வாரத்திற்கான கட்டமைப்பு மாற்றங்களைத் தடுக்கும்.

கேரியர் NAT ஐச் சுட்டிக்காட்டும் அறிகுறிகள்

திசைவியின் நிலைப் பக்கத்தில் உள்ள WAN முகவரியை வெளிப்புறத் தேடல் தெரிவிக்கும் முகவரியுடன் ஒப்பிடுங்கள். 100.64.0.0/10 க்குள் உள்ள WAN முகவரி வழக்கமான அறிகுறி, தனிப்பட்ட வரம்புகள் 10/8, 172.16/12 மற்றும் 192.168/16 அதே பொருளைத் தருகின்றன. traceroute அதே பொது ஹாப்பை மீண்டும் காட்டினால், அல்லது ஆரம்ப ஹாப் தனிப்பட்ட முகவரியுடன் பதிலளித்தால், திசைவிக்கும் இணையத்திற்கும் இடையே இன்னொரு மொழிபெயர்ப்பான் உள்ளது. சில ISP கள் ஒதுக்கப்பட்ட முகவரியை வாடிக்கையாளர் போர்ட்டலில் மட்டுமே பட்டியலிடுகின்றன, எனவே அந்த மதிப்பை traceroute உடன் ஏற்றுமதி செய்யுங்கள்.

நெறிமுறைகள் அல்லது போர்ட்களை மாற்றுவது உதவாது, ஏனெனில் பிரச்சினை மூடிய போர்ட் அல்ல, உள்வரும் அணுகல்.

ஃபார்வேர்டிங் மற்றும் மாறும் DNS அதை ஏன் சரிசெய்ய முடியாது

போர்ட்-ஃபார்வேர்ட் விதி திசைவியின் WAN இடைமுகத்தில் ஒரு போர்ட்டை வரைபடமாக்குகிறது, ஆனால் உள்வரும் போக்குவரத்து அந்த இடைமுகத்தை எப்போதும் அடையாது: ISP முதலில் அதை மொழிபெயர்த்து, அதன் சொந்த அட்டவணை அனுமதிப்பதை மட்டும் அனுப்புகிறது. பகிரப்பட்ட முகவரியை மாறும் DNS இல் வெளியிடுவது வாடிக்கையாளர்களை பல சந்தாதாரர்கள் பயன்படுத்தும் ISP நுழைவாயிலுக்குத் திருப்புகிறது, அதனால் பெயர் தீர்க்கப்படுகிறது ஆனால் கைக்குலுக்கல் தோல்வியடைகிறது. ஹேர்பின் சோதனைகள் வெற்றிபெறுவது திசைவி உள்ளிருந்து தன் விதிக்கே பதிலளிப்பதால், UPnP க்கும் அதே குருட்டுப் புள்ளி உள்ளது.

வாடிக்கையாளரை மீண்டும் கட்டமைப்பதும் உதவாது, ஏனெனில் தோல்வி எந்த வாடிக்கையாளர் அமைப்பும் படிக்கப்படுவதற்கு முன்பே நிகழ்கிறது.

வெளிப்படையான வழிகளுடன் VPS வழியாக ரிலே

முன்னால் பொது முகவரியை வைக்கவும் போக்குவரத்தைச் சுமக்கக்கூடிய மிகச் சிறிய VPS ஐ வாடகைக்கு எடுத்து, பின்னர் வீட்டுத் திசைவி அங்கு வெளிச்செல்லும் அழைப்பை மேற்கொள்ளட்டும். வீட்டு வலையமைப்பிலிருந்து வெளிசெல்லும் UDP கேரியர் NAT ஐக் கடக்கிறது, எனவே சுரங்கப்பாதை உள்ளிருந்து நிறுவப்படுகிறது, VPS அணுகக்கூடிய முடிவுப் புள்ளியாகிறது. வீட்டுப் பக்கம் நிலையான சுரங்கப்பாதை முகவரியுடன் வாடிக்கையாளராகிறது, சேவையகம் அல்ல.

VPS இல் வாடிக்கையாளர்-குறிப்பிட்ட அடைவுப் பதிவைச் சேர்க்கவும், சேவையகம் வீட்டு துணைவலையத்தின் உரிமையாளர் எந்த சக என்பதை அறியும், மேலும் பொருந்தும் கர்னல் வழியைச் சேர்க்கவும்.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

iroute வரி OpenVPN க்கு வீட்டு துணைவலையத்திற்கான போக்குவரத்தை எந்த வாடிக்கையாளர் பெறுகிறார் என்று கூறுகிறது; route வரி அந்த துணைவலையத்தை VPS இன் கர்னல் அட்டவணையில் வைக்கிறது, பாக்கெட்டுகள் சுரங்கப்பாதைக்குள் நுழைய. வெளியிடப்பட்ட சேவைக்கு, பொது போர்ட்டை 10.8.0.10 க்கு ஃபார்வேர்ட் செய்யும் இலக்கு NAT விதியைச் சேர்த்து net.ipv4.ip_forward ஐ இயக்கவும்.

வெளியிலிருந்து பாதையைச் சோதிக்கவும்

பொது பக்கத்தில் ஒவ்வொரு ஹாப்பையும் சரிபார்க்கவும், ஏனெனில் வெற்றிகரமான சுரங்கப்பாதை சேவை அணுகக்கூடியது என்பதை நிரூபிக்காது. VPS இல் கேட்கும் நிலையும் பாக்கெட் பிடிப்பும் 'எதுவும் வரவில்லை' மற்றும் 'வந்து தூக்கி எறியப்பட்டது' ஆகியவற்றை வேறுபடுத்துகின்றன.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

பிடிப்பு தொலைபேசியிலிருந்து பாக்கெட்டுகளைக் காட்டி பதில் இல்லாவிட்டால், அடுத்த நிறுத்தம் சேவையக கட்டமைப்பு அல்லது ஃபயர்வால். பிடிப்பு எதையும் காட்டவில்லை என்றால், வாடிக்கையாளர் இன்னும் தீர்த்துக்கொண்டிருக்கிறார் அல்லது தவறான முகவரிக்கு அனுப்புகிறார்.

முதலில் விலை பார்க்கத்தக்க மாற்றுகள்

ISP யிடமிருந்து பிரத்யேக IPv4 முகவரி மிகக் குறுகிய தீர்வு, பொதுவாகச் சிறிய மாதக் கட்டணம். VPN, வாடிக்கையாளர் வலையமைப்பு மற்றும் DNS பதிவுகள் அனைத்தும் ஆதரிக்கும்போது உள்ளூர் IPv6 இரு முனைகளிலும் மொழிபெயர்ப்பை நீக்குகிறது. வீட்டு வலையமைப்புக்குள் துணைவலையத் திசைவியுடன் கூடிய மெஷ் மேலடுக்கு VPS இல்லாமல் அதே ரிலேவை அடைகிறது, ஆனால் ஒருங்கிணைப்புச் சேவையைச் சார்ந்திருப்பதன் விலையில்.

தேவை நிலையான உள்வரும் அணுகல் மற்றும் ஒவ்வொரு விதியும் உங்கள் கட்டுப்பாட்டில் இருக்க வேண்டும் என்றால் ரிலேவைத் தேர்ந்தெடுங்கள். பட்ஜெட் அனுமதித்தால், இலக்கு அதைப் பற்றி யோசிப்பதை நிறுத்துவது மட்டுமே என்றால் ISP முகவரியைத் தேர்ந்தெடுங்கள்.