Çift NAT ve VPN'iniz: İstemci çalışıyor, sunucu çalışmıyor

Adresleri çeviren iki yönlendirici, giden bir VPN istemcisini nadiren durdurur. Arkalarında sunucu barındırmak daha zordur, özellikle dış katman operatör düzeyinde NAT olduğunda.

Yönlendiriciniz başka bir yönlendiricinin arkasında, WAN adresi özel ve VPN istemcisi yine de bağlanıyor. Bu birleşim, çift NAT'ın tünelleri bozacağını bekleyenleri şaşırtır, oysa çevirinin en iyi üstesinden geldiği şey tam da giden bağlantılardır. Aynı iki katmanın arkasında VPN sunucusu barındırmak ise genellikle başarısız olan durumdur. Herhangi bir şeyi değiştirmeden önce bağlantının yönünü çizin.

Önce bağlantının yönünü çizin

İç yönlendiricinin durum sayfasını açın ve WAN adresini yazın, sonra bunu bir genel hizmetin size bildirdiği adresle karşılaştırın. İkisi farklıysa yönlendiriciniz ile internet arasında en az bir çevirici vardır. WAN adresi 100.64.0.0/10 aralığına düşüyorsa dış çevirici büyük olasılıkla sağlayıcınıza aittir ve siz onu denetlemiyorsunuz. Bu iki olgu, sonraki adımlardan hangisinin işleyebileceğini belirler.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Çift NAT, çift VPN değildir. Çeviri adresleri ve bağlantı noktalarını yeniden yazar; ikinci bir şifreli tünel eklemez ve hiçbir şeyi şifrelemez. Bu iki fikri ayrı tutmak önemlidir çünkü çözümler tamamen farklıdır ve biri ayarlar sayfası yerine sağlayıcınızla konuşmayı gerektirir.

Giden: istemci sorar, çeviriciler eşler

Giden tünel makinenizden çıkan bir paketle başlar, böylece her çevirici bir eşleme oluşturup yanıtı geri içeri bırakabilir. Protokol, bağlantı noktası ve boşta kalma zamanlayıcıları o eşlemenin yararlı olacak kadar uzun yaşayıp yaşamayacağını belirler. Çoğu tüketici yönlendiricisi bunu hiçbir yapılandırma olmadan halleder.

Gerçekte ortaya çıkan arızalar genellikle yönlendirici sayısıyla değil, zaman aşımları ve protokol desteğiyle ilgilidir. Birkaç dakikalık sessizlikten sonra düşen tünel, süresi dolan bir eşlemedir ve keepalive standart yanıttır. IPsec'in standart NAT-traversal uzantıları vardır, dolayısıyla çeviriyi aşamayacağı iddiası düpedüz yanlıştır. Tünel hiç kurulmuyorsa topolojiyi suçlamadan önce uç noktaya ve kimlik bilgilerine bakın.

wg show
ping -c3 10.8.0.1

Giden tünel bir ağdan çalışıp diğerinden çalışmıyorsa durun. O karşılaştırma ağlarla ilgilidir, yönlendirici sayısıyla değil.

Gelen: yönlendirme yalnızca sahip olduğunuz ekipmanı kapsar

Sunucu barındırmak ters yöndür: internetten yeni bir bağlantı gelir ve her katmandan geçerek makinenize ulaşması gerekir. İç yönlendiricideki bağlantı noktası yönlendirme kuralı, ancak dış çevirici de o trafiği size ulaştırırsa yardımcı olur. Yerel kuralı yinelemek sağlayıcının ekipmanı üzerinde denetim vermez.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

İç yönlendiricinin WAN adresini gözlemlediğiniz genel adresle karşılaştırın ve her değerin nereden geldiğini not edin. WAN adresi özel veya paylaşılan aralıktaysa dış katman, yapılandıramayacağınız bir çeviri yapıyordur. Yürürlüğe giremeyecek kurallara bütün bir akşam harcamadan önce sağlayıcıya hangi gelen erişilebilirliği desteklediğini sorun. Bir yönlendiriciyi kaldırmak veya güvenlik duvarını geniş biçimde kapatmak teşhis değildir ve tek bir açık bağlantı noktası için kötü bir değiş tokuştur.

Dış katman sağlayıcıya aitse ve yönlendirme yapmıyorsa durun. O zaman desteklenen yanıtlar başka bir erişim yöntemi veya röle olur, sizin tarafınızda bir kural daha değil.

Her seferinde bir değişkeni test edin

Her testte bir şeyi değiştirin ve sonucu kaydedin, çünkü çift NAT'lı bir yolun tek yönlendiricili bir yoldan daha fazla değişkeni vardır. Profili ve cihazı sabit tutun, sonra başka bir erişim ağını karşılaştırın. Görüşmenin başarısız olup olmadığını, oturumun boşta kaldıktan sonra düşüp düşmediğini veya yalnızca özel hedeflerin başarısız olup olmadığını not edin. Bu üç gözlem üç farklı katmana işaret eder.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Üst üste binen özel alt ağlar, hiçbir çeviri miktarının düzeltemeyeceği ayrı bir tuzaktır. Ev ağınız ve uzak ağ aynı aralığı kullanıyorsa, aralarında kaç çevirici olursa olsun bir yol çakışması ortaya çıkar. Bir tarafı yeniden numaralandırmak tek kalıcı yanıttır.

Uzak geçit de aynı dikkati hak eder, çünkü yönlendirme kuralları ve dönüş yolları eksik parça olabilir. Kimlik doğrulaması geçen bir tünelin yine de kullanılabilir bir uygulama yolu olmayabilir ve bu arıza istemci tarafından aynı görünür. Hangi yönün başarısız olduğunu ve hangi katmanın ondan sorumlu olduğunu söyleyebildiğinizde bu tur sona erer.

İlgili makaleler