Ev VPN sunucusuna ulaşılamıyor: NAT zincirini adımlayın

Sunucu LAN üzerinde yanıt veriyor, bağlantı noktası yönlendirme kuralı doğru görünüyor ve yine de dış istemci bağlanamıyor. Sınırları tek tek dışarı doğru geçmek kuralı dördüncü kez düzenlemekten hızlıdır, çünkü her sınır kendi kanıtını bırakır: yönlendiricinin WAN sayfası, sağlayıcının çevirisi ve ana makinedeki dinleyici. Zaten açık olan yönetim sayfasından başlayın ve denetlemediğiniz bir ağdan yapılan testle bitirin. Her sonucu ilerlerken yazın, çünkü sıra tanının kendisidir ve hatırlanan bir sayı kanıt değildir. Yalnızca giden bir tünele ihtiyacınız varsa çeviri sizin sorununuz değil: yalnızca istenmeyen gelen trafik engellenir.

Yönlendiricinin WAN sayfasından başlayın

Yönlendiriciye giriş yapın ve bağlantı noktası yönlendirme listesi yerine durum sayfasını okuyun. WAN adresini, ait olduğu arayüzü ve bağlantı türünün DHCP, PPPoE ya da sağlayıcının sunduğu başka bir şey olup olmadığını not edin. Ardından bu adresi bir dış hizmetin bildirdiğiyle karşılaştırın; gözlem aynı yönlendiriciden geri dönmesin diye mobil verideki bir telefon kullanın. İki sayı farklı soruları yanıtlar ve onları karşılaştırmak bu adımın bütün amacıdır.

Gözlenen genel adresten farklı bir WAN adresi, yönlendiricinin üzerinde en az bir çevirici olduğu anlamına gelir. Bu henüz bir arıza değildir, çünkü birçok sağlayıcı tasarımı gereği çeviri yapar ve hizmet yine de çalışır. İkisi uyuşuyorsa adres büyük olasılıkla yönlendiriciye aittir ve sorun ağınızın içine taşınmıştır. Her durumda çifti tarihiyle birlikte yazın, çünkü sağlayıcılar adresleri yeniden atar ve geçen ayın notlarıyla karşılaştırmanın değeri yoktur.

Bir atlama yukarı çıkın

Doğrudan yönlendiriciden traceroute çalıştırın ve ilk birkaç atlamayı okuyun. Yinelenen genel adresler, özel bir adresle yanıt veren ilk atlama ya da paylaşılan 100.64.0.0/10 aralığındaki bir adres hepsi yukarıdaki çeviriciye işaret eder. RFC 6598 bu aralığı tam olarak bu tür bir kurulum için tanımlar, bu yüzden onu WAN alanında görmek merak değil güçlü bir işarettir. Yolda iki çevirici olması izi daha az belirgin kılar, bu yüzden tek satırı değil deseni okuyun.

Bazı sağlayıcılar atanan adresi yalnızca müşteri portalında gösterir, bu yüzden yönlendiricinin yalan söylediği sonucuna varmadan önce oraya bakın. Portaldaki adresin dış gözleminizle eşleşmesi ama yönlendiricinin başka bir şey bildirmesi, yukarıdaki çeviricinin en açık kanıtıdır. İki sayfayı da değişiklik kaydına koyun, çünkü hangi sınırın kime ait olduğu tartışması tarihli iki görüntüyle çok daha hızlı ilerler.

Dinleyiciyi ve yönlendirmeyi doğrulayın

LAN üzerindeki bir test hizmetin yerel olarak çalıştığını kanıtlar ve dışarıdan erişilebilirlik hakkında hiçbir şey kanıtlamaz. Birçok yönlendirici kendi yönlendirme kuralına içeriden yanıt verir, bu yüzden dış yol hâlâ kapalıyken toka testi başarılı olur. Arka plan sürecinin varsaydığınız adres ve bağlantı noktasına bağlı olduğunu doğrulayın, sonra dışarıdan test edin. Aşağıdakilerin hepsi yalnızca okumak içindir.

ss -lunp | grep -E '1194|51820'
ip -4 addr show | grep -E 'inet '
curl -s --max-time 5 ifconfig.me
traceroute -n -m 5 1.1.1.1

Dış test yönlendiriciye hiçbir paket ulaşmadığını gösteriyorsa düşme yukarıda gerçekleşti ve hiçbir yerel kural bunu düzeltmez. Paketler ulaşıyor ama hiçbir şey yanıt vermiyorsa sıradaki sınır dinleyici ya da ana makinenin güvenlik duvarıdır. Ana makinede paket yakalama ikisinden hangisine baktığınızı belirler ve kuralları tahmin etmenin bir turundan daha az zaman alır. Karşılaştırırken dinleyiciyi ve taşımasını değiştirmeden tutun, yoksa sıradaki test başka bir soruyu yanıtlar.

Aynı kuralı değil topolojiyi değiştirin

Çevirici sağlayıcıya aitse çözüm bir başka yönlendirme değil başka bir yoldur. Genel adresi olan küçük bir VPS, ev tarafından giden bir tünelle bağlandığında hizmetin önüne erişilebilir bir uç nokta koyar. Sağlayıcının verdiği genel adres bulunduğu yerde daha basittir ve genellikle bir makine işletmekten daha ucuzdur. IPv6 çeviriyi tamamen ortadan kaldırır, ancak istemci ağı, DNS kayıtları ve güvenlik duvarı ilkesi bunu destekliyorsa.

Dinamik DNS yalnızca bir adı günceller; erişilebilirlik yaratmaz ve paylaşılan bir adrese yönlendirmek istemcileri diğer abonelerin de kullandığı sağlayıcı geçidine gönderir. Bu arıza tam olarak ölü bir sunucu gibi görünür, bu yüzden önceki adımların kaydı önemlidir. Test başarısız olduğunda adın hangi adrese çözüldüğünü not edin ve yanıtı test sonucuyla birlikte saklayın.

Planı kontrol ettiğiniz sınırın etrafında yeniden yazın: dinleyici, tünel ve yollar. Eski yönlendirmeyi yalnızca hâlâ doğru bir şeyi tanımladığı sürece yerinde tutun, çünkü topolojiye artık uymayan bir kural hiç kural olmamasından kötüdür. Gerçekte hangi katmanın engellediğini ve bunu hangi kanıtın gösterdiğini kaydedin. Aksi hâlde yönetim sayfasını açan bir sonraki kişi bu yürüyüşün her adımını baştan tekrarlar.