CGNAT کے پیچھے موجود VPN سرور کبھی کنکشن کیوں قبول نہیں کرتا

راؤٹر 100.72 سے شروع ہونے والا WAN پتہ بتاتا ہے، متحرک DNS نام کسی دوسرے عوامی پتے پر حل ہوتا ہے، اور اس راؤٹر کا VPN سرور باہر سے کبھی ہینڈ شیک مکمل نہیں کرتا۔ پورٹ فارورڈنگ ترتیب دی گئی ہے، سروس چل رہی ہے، اور LAN سے آزمائش اب بھی کام کرتی ہے۔ راؤٹر لاگ میں غلطی جیسی کوئی چیز نظر نہیں آتی۔ یہ امتزاج کیریئر گریڈ NAT ہے، اور ISP کے پاس موجود پتے پر کوئی فائر وال اصول پورٹ نہیں کھول سکتا۔

مشترکہ پتے کی تصدیق میں دو منٹ لگتے ہیں اور ایک ہفتے کی ترتیب کی تبدیلیاں بچ جاتی ہیں۔

کیریئر NAT کی طرف اشارہ کرنے والے آثار

راؤٹر کے اسٹیٹس صفحے پر موجود WAN پتے کا موازنہ بیرونی تلاش کے بتائے گئے پتے سے کریں۔ 100.64.0.0/10 کے اندر WAN پتہ عام نشانی ہے، اور نجی رینجیں 10/8، 172.16/12 اور 192.168/16 بھی یہی مطلب رکھتی ہیں۔ اگر traceroute وہی عوامی ہاپ بار بار دکھائے، یا کوئی ابتدائی ہاپ نجی پتے سے جواب دے، تو راؤٹر اور انٹرنیٹ کے درمیان ایک اور مترجم موجود ہے۔ کچھ ISP مختص کیا گیا پتہ صرف گاہک پورٹل میں دکھاتے ہیں، لہٰذا وہ قدر traceroute کے ساتھ برآمد کریں۔

پروٹوکول یا پورٹ بدلنے سے مدد نہیں ملتی، کیونکہ مسئلہ بند پورٹ نہیں بلکہ اندر آنے والی رسائی ہے۔

فارورڈنگ اور متحرک DNS اسے کیوں درست نہیں کر سکتے

پورٹ فارورڈنگ اصول راؤٹر کے WAN انٹرفیس پر پورٹ کا نقشہ بناتا ہے، لیکن آنے والی ٹریفک کبھی اس انٹرفیس تک نہیں پہنچتی: ISP پہلے اس کا ترجمہ کرتا ہے اور صرف وہی آگے بھیجتا ہے جس کی اس کی اپنی جدول اجازت دیتی ہے۔ مشترکہ پتہ متحرک DNS میں شائع کرنے سے گاہک بہت سے صارفین کے استعمال کردہ ISP گیٹ وے کی طرف جاتے ہیں، اسی لیے نام حل ہوتا ہے مگر ہینڈ شیک پھر بھی ناکام ہوتا ہے۔ ہیئر پن آزمائشیں کامیاب ہوتی ہیں کیونکہ راؤٹر اندر سے اپنے ہی اصول کا جواب دیتا ہے، اور UPnP میں بھی وہی اندھا دھبہ موجود ہے۔

گاہک کو دوبارہ ترتیب دینے سے بھی مدد نہیں ملے گی، کیونکہ ناکامی کسی بھی گاہک کی ترتیب پڑھنے سے پہلے ہوتی ہے۔

واضح راستوں کے ساتھ VPS کے ذریعے ریلے

سامنے عوامی پتہ رکھیں ٹریفک اٹھا سکنے والا سب سے چھوٹا VPS کرائے پر لے کر، پھر گھر کے راؤٹر کو اس طرف باہر کال کرنے دیں۔ گھریلو نیٹ ورک سے باہر جانے والی UDP کیریئر NAT عبور کرتی ہے، لہٰذا سرنگ اندر سے قائم ہوتی ہے اور VPS قابل رسائی اختتامی نقطہ بن جاتا ہے۔ گھر کا پہلو مستقل سرنگ پتے والا گاہک بنتا ہے، سرور نہیں۔

VPS پر گاہک کے لیے مخصوص ڈائریکٹری اندراج شامل کریں تاکہ سرور جان سکے کہ گھریلو سب نیٹ کس پیر کا ہے، اور مماثل کرنل راستہ بھی شامل کریں۔

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

iroute سطر OpenVPN کو بتاتی ہے کہ گھریلو سب نیٹ کی ٹریفک کون سا گاہک وصول کرتا ہے؛ route سطر اس سب نیٹ کو VPS کی کرنل جدول میں رکھتی ہے تاکہ پیکٹ سرنگ میں داخل ہوں۔ شائع شدہ سروس کے لیے، عوامی پورٹ کو 10.8.0.10 پر فارورڈ کرنے والا منزل NAT اصول شامل کریں اور net.ipv4.ip_forward فعال کریں۔

باہر سے راستہ آزمائیں

عوامی پہلو پر ہر ہاپ کی تصدیق کریں، کیونکہ کامیاب سرنگ ثابت نہیں کرتی کہ سروس قابل رسائی ہے۔ VPS پر سماعت کی حالت اور پیکٹ کیپچر 'کچھ نہیں آیا' اور 'آیا اور پھینک دیا گیا' میں فرق کرتے ہیں۔

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

اگر کیپچر فون سے پیکٹ دکھائے مگر جواب نہ ہو، تو اگلا مرحلہ سرور کی ترتیب یا فائر وال ہے۔ اگر کیپچر کچھ نہ دکھائے، تو گاہک اب بھی حل کر رہا ہے یا غلط پتے پر بھیج رہا ہے۔

پہلے قیمت جانچنے کے قابل متبادل

ISP سے مخصوص IPv4 پتہ سب سے چھوٹا حل ہے اور عام طور پر چھوٹی ماہانہ فیس ہوتی ہے۔ مقامی IPv6 دونوں سروں پر ترجمہ ہٹا دیتا ہے جب VPN، گاہک کا نیٹ ورک اور DNS ریکارڈ سب اسے سہارا دیں۔ گھریلو نیٹ ورک کے اندر سب نیٹ راؤٹر والا میش اوورلے VPS کے بغیر وہی ریلے فراہم کرتا ہے، مگر ہم آہنگی سروس پر انحصار کی قیمت پر۔

ریلے چنیں جب ضرورت مستقل اندر آنے والی رسائی ہو اور ہر اصول آپ کے کنٹرول میں رہنا چاہیے۔ ISP پتہ چنیں جب بجٹ اجازت دے اور مقصد صرف اس کے بارے میں سوچنا چھوڑ دینا ہو۔