Ikki qavatli NAT va VPN-ingiz: mijoz ishlaydi, server ishlamaydi

Routeringiz boshqa router orqasida turadi, WAN manzili xususiy, VPN mijozi esa baribir ulanadi. Bu birikma ikki qavatli NAT tunnellarni buzadi deb kutganlarni hayratga soladi, lekin tarjima eng yaxshi chiquvchi ulanishlarni boshqaradi. Aynan o'sha ikki qatlam orqasida VPN serverini joylashtirish odatda muvaffaqiyatsiz bo'ladigan holatdir. Biror narsani o'zgartirishdan oldin ulanish yo'nalishini chizing.

Avval ulanish yo'nalishini chizing

Ichki routerning holat sahifasini ochib, uning WAN manzilini yozib oling, so'ng uni qandaydir ommaviy xizmat sizga xabar qilgan manzil bilan solishtiring. Agar ikkalasi farq qilsa, routeringiz va internet o'rtasida kamida bitta tarjimon bor. Agar WAN manzili 100.64.0.0/10 oralig'iga tushsa, tashqi tarjimon katta ehtimol bilan provayderingizga tegishli va siz uni boshqarmaysiz. Bu ikki fakt keyingi qadamlardan qaysi biri umuman ishlashi mumkinligini belgilaydi.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

Ikki qavatli NAT ikki qavatli VPN emas. Tarjima manzillar va portlarni qayta yozadi; u ikkinchi shifrlangan tunnel qo'shmaydi va hech narsani shifrlamaydi. Bu ikki tushunchani ajratish muhim, chunki yechimlar butunlay boshqacha va ulardan biri sozlamalar sahifasi emas, provayderingiz bilan suhbatni talab qiladi.

Chiquvchi yo'nalish: mijoz so'raydi, tarjimonlar xaritalaydi

Chiquvchi tunnel mashinangizdan chiqqan paket bilan boshlanadi, shuning uchun har bir tarjimon xaritalash yaratib, javobni yana ichkariga qo'yib yuborishi mumkin. Protokol, port va bo'sh turish taymerlari bu xaritalash foydali bo'lish uchun yetarlicha uzoq yashashini belgilaydi. Ko'pchilik iste'molchi routerlar buni hech qanday konfiguratsiyasiz bajaradi.

Haqiqatan ko'rinadigan nosozliklar odatda routerlar soni emas, vaqt tugashi va protokol qo'llab-quvvatlashiga bog'liq. Bir necha daqiqa sukunatdan keyin tushadigan tunnel — bu tugayotgan xaritalash, keepalive esa standart javob. IPsec standart NAT-traversal kengaytmalariga ega, shuning uchun u tarjimadan o'ta olmaydi degan da'vo shunchaki noto'g'ri. Agar tunnel umuman o'rnatilmasa, topologiyani ayblashdan oldin oxirgi nuqta va hisob ma'lumotlariga qarang.

wg show
ping -c3 10.8.0.1

Agar chiquvchi tunnel bir tarmoqdan ishlab, boshqasidan ishlamasa, to'xtang. Bu taqqoslash tarmoqlar haqida, routerlar soni haqida emas.

Kiruvchi yo'nalish: yo'naltirish faqat sizga tegishli uskunani qamrab oladi

Server joylashtirish teskari yo'nalishdir: internetdan yangi ulanish keladi va har bir qatlamdan o'tib mashinangizga yetib borishi kerak. Ichki routerdagi portni yo'naltirish qoidasi faqat tashqi tarjimon ham bu trafikni sizga yetkazganda yordam beradi. Mahalliy qoidani takrorlash provayder uskunasi ustidan nazorat bermaydi.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

Ichki routerning WAN manzilini siz kuzatgan ommaviy manzil bilan solishtiring va har bir qiymat qayerdan kelganini yozib qo'ying. Agar WAN manzili xususiy yoki umumiy diapazonda bo'lsa, tashqi qatlam siz sozlay olmaydigan tarjimani amalga oshirmoqda. Kuchga kira olmaydigan qoidalarga butun oqshom sarflashdan oldin provayderdan qanday kiruvchi yetib borishni qo'llab-quvvatlashini so'rang. Routerni olib tashlash yoki xavfsizlik devorini keng o'chirish tashxis emas va bitta ochiq port uchun yomon almashinuv.

Agar tashqi qatlam provayderga tegishli bo'lsa va yo'naltirmasa, to'xtang. Unda qo'llab-quvvatlanadigan javoblar boshqa kirish usuli yoki rele, sizning tomoningizda yana bir qoida emas.

Bir vaqtning o'zida bitta o'zgaruvchini sinab ko'ring

Har bir sinovda bitta narsani o'zgartiring va natijani yozib oling, chunki ikki qavatli NAT yo'lida bitta routerli yo'ldan ko'ra ko'proq o'zgaruvchi bor. Profil va qurilmani o'zgarmas holda saqlang, so'ng boshqa kirish tarmog'i bilan solishtiring. Muzokaralar muvaffaqiyatsiz bo'ladimi, sessiya bo'sh turishdan keyin tushadimi yoki faqat xususiy manzillar ishlamaydimi — buni qayd eting. Bu uch kuzatuv uch xil qatlamga ishora qiladi.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

Bir-biriga ustma-ust tushadigan xususiy quyi tarmoqlar alohida tuzoq bo'lib, uni hech qanday tarjima miqdori tuzatmaydi. Agar uy tarmog'ingiz va masofaviy tarmoq bir xil diapazondan foydalansa, ular orasida qancha tarjimon bo'lishidan qat'i nazar, marshrut to'qnashuvi paydo bo'ladi. Bir tomonni qayta raqamlash yagona barqaror javobdir.

Masofaviy shlyuz ham xuddi shunday e'tiborga loyiq, chunki uning yo'naltirish qoidalari va qaytish marshrutlari yetishmayotgan bo'lak bo'lishi mumkin. Autentifikatsiyadan o'tgan tunnel ham foydalanish mumkin bo'lgan ilova yo'liga ega bo'lmasligi mumkin va bu nosozlik mijoz tomonidan bir xil ko'rinadi. Qaysi yo'nalish ishlamasligini va qaysi qatlam javobgar ekanini ayta olganingizda bu sharh tugaydi.