Routerdagi VPN yoki portni yo‘naltirish: qaysi biri yutadi?

Router VPNni o‘zi tugatadi, eski yo‘naltirish qoidasi esa o‘sha UDP portni LANdagi mashinaga yuborishda davom etadi. Ulardan faqat bittasi haqiqiy oxirgi nuqta bo‘lishi mumkin va yadro ular orasida qaror qabul qilmaydi. Manzil tarjimasi paketni mahalliy xizmatga murojaat qilishdan oldin qayta yozadi, shuning uchun VPN jarayoni boshqa joyga yuborilgan trafikni kutadi. Vazifa — port kimga tegishli ekanini hal qilish, so‘ngra qoidalarni moslashtirish.

Bitta port, ikki da’vogar egasi

Router ichida ishlaydigan VPN serveriga o‘z soketiga olib boradigan kirish ruxsati kerak. Xuddi shu port uchun manzil-NAT yozuvi butunlay boshqa joyga olib boradi: LAN manzili va yo‘naltirish qaroriga. Bular turli jurnallar va turli nosozlik usullariga ega alohida oxirgi nuqtalar. Odatiy belgi — bir manzil oilasi ishlaydi, ikkinchisi ishlamaydi, chunki qolgan yozuv bitta oila uchun yozilgan va hech qachon qayta ko‘rib chiqilmagan.

Tahrirlashdan oldin da’voni yozib qo‘ying: oila, tashqi manzil, transport, port va tarjima qilingan maqsad.

Tarjima mahalliy tekshiruvdan oldin ishlaydi

Manzil NAT yadro mahalliy yetkazib berish va yo‘naltirish o‘rtasida tanlashdan oldin, yo‘naltirishdan oldingi bosqichda paketning maqsadini o‘zgartiradi. Maqsad LAN xosti bo‘lgach, paket yo‘naltirish yo‘lidan ketadi. Routerning o‘z soketi uchun kirish qoidalari hech qachon ko‘rib chiqilmaydi, shuning uchun mijoz kutayotganda VPN jurnali bo‘sh qoladi.

Intended local entry:
WAN UDP 1194 -> router local socket -> input path

Conflicting old entry:
WAN UDP 1194 -> DNAT 192.168.50.10:1194 -> forward path

Aynan shu tartib butun mexanizm bo‘lib, qurilma interfeyslari uni o‘zgartirmasdan belgilash katakchalari ortiga yashiradi. Paket qaysi yo‘lni olishini hanuz manzil egasi hal qiladi.

Agar LAN xosti mo‘ljallangan oxirgi nuqta bo‘lsa, yo‘naltirish to‘g‘ri va router ham o‘sha portda tinglamasligi kerak.

Bitta xaritalashni saqlang, ikkinchisini olib tashlang

O‘sha port va oila uchun NAT yozuvlarini sanab chiqing va omon qolganini tanlang:

sudo iptables -t nat -S | grep 1194
sudo ss -lunp | grep :1194

Xuddi shu raqamli TCP yozuvi UDP nosozligi uchun ahamiyatsiz, ularni bitta obyekt deb qarash esa noto‘g‘ri qoidaning o‘chirilishiga olib keladi. Mahalliy soket yutishi kerak bo‘lsa, ziddiyatli xaritalash egasi aynan o‘sha yozuvni olib tashlaydi yoki qayta yozadi, routerning o‘z porti uchun kirish ruxsati esa joyida qoladi. Aloqasiz yo‘naltirishlar, boshqaruv yo‘li va qoidalar to‘plamining nusxasi o‘zgarishdan omon qolishi kerak.

Agar VPN alohida xostda yashasa, yo‘naltirish to‘g‘ri obyektdir. Konteyner yoki virtual mashinadagi xizmatga quti router deb atalsa ham e’lon qilingan port kerak bo‘lishi mumkin, shuning uchun qutidagi yorliqni emas, soket va uning nom maydonini kuzatib boring.

Egasi ekanini tashqaridan tasdiqlang

Har bir oilani alohida sinab ko‘ring, chunki routerda tugaydigan IPv6 ulanishi eski qoida yo‘naltirib yuboradigan IPv4 ulanishi haqida hech narsa demaydi. Qaysi oxirgi nuqta javob berganini ko‘rish uchun qabul qiluvchi xizmat jurnalini o‘qing va mijozning muvaffaqiyat xabarini zaif dalil deb hisoblang. Ma’noli sinov uchun yangi oqim kerak. Tashqi xostdan nc -zvu 203.0.113.7 1194 bilan zond yuboring va g‘olibning jurnalini journalctl -u openvpn@server -n 20 bilan o‘qing. Router tinglovchisi ulanishni o‘zi qayd etadi, LAN xosti esa uni o‘z xizmatida qayd etadi.

Ulanishlarni kuzatish mavjud oqimlarni asl xaritalashida ushlab turadi, shuning uchun o‘rnatilgan sessiya siz hozir tuzatgan qoidadan uzoqroq yashashi mumkin.

Mo‘ljallangan oxirgi nuqta odatdagi shaxsni tekshirishlari bilan javob bergach, tunnel orqasidagi xususiy resursni sinab ko‘ring. Tashqi tinglovchiga yetib borish — faqat birinchi qadam; ichki marshrutlash va ilova avtorizatsiyasi alohida natijalardir.