CGNAT వెనుక ఉన్న VPN సర్వర్ ఎందుకు ఎప్పుడూ కనెక్షన్లను అంగీకరించదు

రౌటర్ 100.72 తో ప్రారంభమయ్యే WAN చిరునామాను నివేదిస్తుంది, డైనమిక్ DNS పేరు మరో పబ్లిక్ చిరునామాకు పరిష్కరించబడుతుంది, మరియు ఆ రౌటర్‌లోని VPN సర్వర్ బయటి నుండి ఎప్పుడూ హ్యాండ్‌షేక్ పూర్తి చేయదు. పోర్ట్ ఫార్వార్డింగ్ కాన్ఫిగర్ చేయబడింది, సేవ అమలులో ఉంది, మరియు LAN నుండి పరీక్ష ఇప్పటికీ పనిచేస్తుంది. రౌటర్ లాగ్‌లో లోపం లాంటిది ఏమీ కనిపించదు. ఆ కలయిక క్యారియర్-గ్రేడ్ NAT, మరియు ISP కలిగి ఉన్న చిరునామాలో ఏ ఫైర్‌వాల్ నియమం పోర్ట్ తెరవలేదు.

షేర్ చేసిన చిరునామాను నిర్ధారించడానికి రెండు నిమిషాలు పడుతుంది మరియు ఒక వారం కాన్ఫిగరేషన్ మార్పులను నివారిస్తుంది.

క్యారియర్ NAT వైపు చూపే సంకేతాలు

రౌటర్ స్థితి పేజీలోని WAN చిరునామాను బాహ్య శోధన నివేదించే చిరునామాతో పోల్చండి. 100.64.0.0/10 లోపల WAN చిరునామా సాధారణ సంకేతం, మరియు ప్రైవేట్ పరిధులు 10/8, 172.16/12 మరియు 192.168/16 అదే అర్థాన్ని ఇస్తాయి. traceroute అదే పబ్లిక్ హాప్‌ను పునరావృతంగా చూపిస్తే, లేదా ప్రారంభ హాప్ ప్రైవేట్ చిరునామాతో సమాధానమిస్తే, రౌటర్ మరియు ఇంటర్నెట్ మధ్య మరో అనువాదకుడు ఉన్నాడు. కొన్ని ISPలు కేటాయించిన చిరునామాను కస్టమర్ పోర్టల్‌లో మాత్రమే జాబితా చేస్తాయి, కాబట్టి ఆ విలువను tracerouteతో పాటు ఎగుమతి చేయండి.

ప్రోటోకాల్‌లు లేదా పోర్ట్‌లను మార్చడం సహాయపడదు, ఎందుకంటే సమస్య మూసివేసిన పోర్ట్ కాదు, ఇన్‌బౌండ్ చేరుకోగల సామర్థ్యం.

ఫార్వార్డింగ్ మరియు డైనమిక్ DNS ఎందుకు సరిదిద్దలేవు

పోర్ట్-ఫార్వార్డ్ నియమం రౌటర్ WAN ఇంటర్‌ఫేస్‌పై పోర్ట్‌ను మ్యాప్ చేస్తుంది, కానీ ఇన్‌బౌండ్ ట్రాఫిక్ ఆ ఇంటర్‌ఫేస్‌ను ఎప్పుడూ చేరుకోదు: ISP మొదట దాన్ని అనువదించి, తన సొంత పట్టిక అనుమతించినది మాత్రమే ఫార్వార్డ్ చేస్తుంది. షేర్ చేసిన చిరునామాను డైనమిక్ DNSలో ప్రచురించడం క్లయింట్లను చాలా మంది చందాదారులు ఉపయోగించే ISP గేట్‌వే వైపు మళ్లిస్తుంది, అందుకే పేరు పరిష్కరించబడుతుంది కానీ హ్యాండ్‌షేక్ విఫలమవుతుంది. హెయిర్‌పిన్ పరీక్షలు విజయవంతమవుతాయి ఎందుకంటే రౌటర్ లోపలి నుండి తన నియమానికే సమాధానమిస్తుంది, మరియు UPnPకి కూడా అదే గుడ్డి మచ్చ ఉంది.

క్లయింట్‌ను మళ్లీ కాన్ఫిగర్ చేయడం కూడా సహాయపడదు, ఎందుకంటే వైఫల్యం ఏదైనా క్లయింట్ సెట్టింగ్ చదవబడకముందే సంభవిస్తుంది.

స్పష్టమైన మార్గాలతో VPS ద్వారా రిలే

ముందు పబ్లిక్ చిరునామాను ఉంచండి ట్రాఫిక్‌ను మోయగల అతిచిన్న VPSని అద్దెకు తీసుకొని, ఆపై ఇంటి రౌటర్ అటువైపు అవుట్‌బౌండ్ కాల్ చేయనివ్వండి. ఇంటి నెట్‌వర్క్ నుండి అవుట్‌బౌండ్ UDP క్యారియర్ NATని దాటుతుంది, కాబట్టి టన్నెల్ లోపలి నుండి ఏర్పడుతుంది మరియు VPS చేరుకోగల చివరి బిందువు అవుతుంది. ఇంటి వైపు స్థిర టన్నెల్ చిరునామా ఉన్న క్లయింట్ అవుతుంది, సర్వర్ కాదు.

VPSలో క్లయింట్-నిర్దిష్ట డైరెక్టరీ నమోదును జోడించండి, సర్వర్‌కు ఇంటి సబ్‌నెట్ ఏ పీర్‌ది అని తెలిసేలా, మరియు సరిపోలే కెర్నల్ మార్గాన్ని జోడించండి.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

iroute లైన్ OpenVPN కి ఇంటి సబ్‌నెట్ ట్రాఫిక్‌ను ఏ క్లయింట్ స్వీకరిస్తుందో చెబుతుంది; route లైన్ ఆ సబ్‌నెట్‌ను VPS కెర్నల్ పట్టికలో ఉంచుతుంది, ప్యాకెట్లు టన్నెల్‌లోకి ప్రవేశించేలా. ప్రచురించిన సేవ కోసం, పబ్లిక్ పోర్ట్‌ను 10.8.0.10కి ఫార్వార్డ్ చేసే గమ్యస్థాన NAT నియమాన్ని జోడించి net.ipv4.ip_forward ని ప్రారంభించండి.

బయటి నుండి మార్గాన్ని పరీక్షించండి

పబ్లిక్ వైపు ప్రతి హాప్‌ను ధృవీకరించండి, ఎందుకంటే విజయవంతమైన టన్నెల్ సేవ చేరుకోగలదని రుజువు చేయదు. VPSలో వినడం స్థితి మరియు ప్యాకెట్ క్యాప్చర్ 'ఏమీ రాలేదు' మరియు 'వచ్చి పడేయబడింది' మధ్య భేదం చూపుతాయి.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

క్యాప్చర్ ఫోన్ నుండి ప్యాకెట్లను చూపి సమాధానం లేకపోతే, తదుపరి స్టాప్ సర్వర్ కాన్ఫిగరేషన్ లేదా ఫైర్‌వాల్. క్యాప్చర్ ఏమీ చూపకపోతే, క్లయింట్ ఇంకా పరిష్కరిస్తోంది లేదా తప్పు చిరునామాకు పంపుతోంది.

మొదట ధర పరిశీలించదగిన ప్రత్యామ్నాయాలు

ISP నుండి అంకిత IPv4 చిరునామా అతి చిన్న పరిష్కారం మరియు సాధారణంగా చిన్న నెలవారీ రుసుము. VPN, క్లయింట్ నెట్‌వర్క్ మరియు DNS రికార్డులు అన్నీ మద్దతిస్తే స్థానిక IPv6 రెండు చివరల్లో అనువాదాన్ని తొలగిస్తుంది. ఇంటి నెట్‌వర్క్ లోపల సబ్‌నెట్ రౌటర్ ఉన్న మెష్ ఓవర్‌లే VPS లేకుండా అదే రిలేను అందిస్తుంది, కానీ సమన్వయ సేవపై ఆధారపడటం ఖర్చుతో.

అవసరం స్థిరమైన ఇన్‌బౌండ్ యాక్సెస్ మరియు ప్రతి నియమం మీ నియంత్రణలో ఉండాలి అనుకుంటే రిలే ఎంచుకోండి. బడ్జెట్ అనుమతించి, లక్ష్యం దాని గురించి ఆలోచించడం ఆపడం మాత్రమే అయితే ISP చిరునామా ఎంచుకోండి.