CGNAT arkasındaki VPN sunucusu neden hiç bağlantı kabul etmez

100.64 adresi, başka yerde çözülen dinamik DNS adı ve gelen el sıkışma olmaması tek bir sorundur: operatör NAT'ı. Önce doğrulayın, sonra giden trafiği aktarın.

Yönlendirici 100.72 ile başlayan bir WAN adresi bildiriyor, dinamik DNS adı başka bir genel adrese çözülüyor ve o yönlendiricideki VPN sunucusu dışarıdan hiçbir zaman el sıkışmayı tamamlamıyor. Bağlantı noktası yönlendirme yapılandırılmış, hizmet çalışıyor ve LAN'dan yapılan test hâlâ geçiyor. Yönlendirici günlüğünde hata gibi görünen hiçbir şey yok. Bu bileşim operatör düzeyinde NAT'tır ve hiçbir güvenlik duvarı kuralı, ISS'nin elinde tuttuğu bir adreste bağlantı noktası açamaz.

Paylaşılan adresi doğrulamak iki dakika sürer ve bir haftalık yapılandırma değişikliğini önler.

Operatör NAT'ına işaret eden belirtiler

Yönlendiricinin durum sayfasındaki WAN adresini harici bir sorgunun bildirdiği adresle karşılaştırın. 100.64.0.0/10 içindeki WAN adresi olağan belirtidir ve özel aralıklar 10/8, 172.16/12 ve 192.168/16 aynı anlama gelir. traceroute aynı genel atlamayı tekrarlıyorsa veya erken bir atlama özel adresle yanıt veriyorsa, yönlendirici ile internet arasında başka bir çevirici vardır. Bazı ISS'ler atanan adresi yalnızca müşteri portalında listeler, bu yüzden bu değeri traceroute ile birlikte dışa aktarın.

Protokol veya bağlantı noktası değiştirmek yardımcı olmaz, çünkü sorun kapalı bir bağlantı noktası değil, gelen erişilebilirliktir.

Yönlendirme ve dinamik DNS bunu neden düzeltemez

Bağlantı noktası yönlendirme kuralı, yönlendiricinin WAN arayüzündeki bir bağlantı noktasını eşler, ancak gelen trafik o arayüze hiç ulaşmaz: ISS önce onu çevirir ve yalnızca kendi tablosunun izin verdiğini iletir. Paylaşılan adresi dinamik DNS'te yayımlamak istemcileri birçok abonenin kullandığı bir ISS geçidine yönlendirir, bu yüzden ad çözülür ama el sıkışma yine başarısız olur. Hairpin testleri başarılı olur çünkü yönlendirici kendi kuralına içeriden yanıt verir ve UPnP tamamen aynı kör noktaya sahiptir.

İstemciyi yeniden yapılandırmak da yardımcı olmaz, çünkü hata herhangi bir istemci ayarı okunmadan önce oluşur.

Açık rotalarla VPS üzerinden aktarım

Öne genel bir adres koyun: trafiği taşıyabilecek en küçük VPS'i kiralayarak, sonra ev yönlendiricisinin oraya giden bir bağlantı kurmasını sağlayın. Ev ağından çıkan UDP operatör NAT'ından geçer, bu yüzden tünel içeriden kurulur ve VPS erişilebilir uç nokta olur. Ev tarafı sabit tünel adresine sahip bir istemci olur, sunucu değil.

VPS'te, sunucunun ev alt ağının hangi eşe ait olduğunu bilmesi için istemciye özgü bir dizin girdisi ekleyin ve eşleşen bir çekirdek rotası ekleyin.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

iroute satırı OpenVPN'e ev alt ağı için trafiği hangi istemcinin aldığını söyler; route satırı o alt ağı VPS'in çekirdek tablosuna koyar, böylece paketler tünele girer. Yayımlanmış bir hizmet için genel bağlantı noktasını 10.8.0.10'a yönlendiren bir hedef NAT kuralı ekleyin ve net.ipv4.ip_forward ayarını etkinleştirin.

Yolu dışarıdan test edin

Genel taraftaki her atlamayı doğrulayın, çünkü başarılı bir tünel hizmetin erişilebilir olduğunu kanıtlamaz. VPS'teki dinleme durumu ve paket yakalama, 'hiçbir şey gelmedi' ile 'geldi ve atıldı' arasını ayırır.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Yakalama telefondan paket gösteriyorsa ama yanıt yoksa, sıradaki durak sunucu yapılandırması veya güvenlik duvarıdır. Yakalama hiçbir şey göstermiyorsa, istemci hâlâ adresi çözüyor veya yanlış adrese gönderiyor.

Önce fiyatı değerlendirilmesi gereken alternatifler

ISS'den alınan özel bir IPv4 adresi en kısa çözümdür ve genellikle küçük bir aylık ücrettir. VPN, istemci ağı ve DNS kayıtları hepsi desteklediğinde yerel IPv6, iki uçtaki çeviriyi ortadan kaldırır. Ev ağının içinde bir alt ağ yönlendiricisi bulunan mesh katmanı, VPS olmadan aynı aktarımı sağlar, ancak bir koordinasyon hizmetine bağımlılık pahasına.

Gereksinim istikrarlı gelen erişimse ve her kural sizin denetiminizde kalmalıysa aktarımı seçin. Bütçe elveriyorsa ve amaç sadece bunu düşünmeyi bırakmaksa ISS adresini seçin.

İlgili makaleler