Nega CGNAT orqasidagi VPN serveri hech qachon ulanishlarni qabul qilmaydi

100.64 manzili, boshqa joyda hal qilinadigan dinamik DNS nomi va kiruvchi qo'l siqishning yo'qligi bitta muammo: operator NAT. Uni tasdiqlang, so'ng chiquvchi trafikni rele orqali uzating.

Router 100.72 bilan boshlanadigan WAN manzilini bildiradi, dinamik DNS nomi boshqa ommaviy manzilga hal qilinadi va o'sha routerdagi VPN serveri tashqaridan qo'l siqishni hech qachon tugatmaydi. Port yo'naltirish sozlangan, xizmat ishlayapti va LANdan sinov hali ham o'tadi. Router jurnalida xatoga o'xshash hech narsa ko'rinmaydi. Bu birikma operator darajasidagi NAT bo'lib, hech qanday xavfsizlik devori qoidasi ISP egalik qiladigan manzilda port ocholmaydi.

Umumiy manzilni tasdiqlash ikki daqiqa vaqt oladi va bir haftalik konfiguratsiya o'zgarishlarining oldini oladi.

Operator NATiga ishora qiluvchi belgilar

Routerning holat sahifasidagi WAN manzilini tashqi so'rov bildirgan manzil bilan solishtiring. 100.64.0.0/10 ichidagi WAN manzili odatiy belgi, xususiy diapazonlar 10/8, 172.16/12 va 192.168/16 ham xuddi shu ma'noni bildiradi. Agar traceroute bir xil ommaviy sakrashni takror ko'rsatsa yoki erta sakrash xususiy manzil bilan javob bersa, router va internet o'rtasida yana bir tarjimon bor. Ba'zi ISPlar ajratilgan manzilni faqat mijoz portalida ko'rsatadi, shuning uchun o'sha qiymatni traceroute bilan birga eksport qiling.

Protokollar yoki portlarni almashtirish yordam bermaydi, chunki muammo yopiq port emas, kiruvchi yetib borishdir.

Nega yo'naltirish va dinamik DNS buni tuzata olmaydi

Port yo'naltirish qoidasi routerning WAN interfeysidagi portni xaritalaydi, lekin kiruvchi trafik hech qachon o'sha interfeysga yetib bormaydi: ISP avval uni tarjima qiladi va faqat o'z jadvali ruxsat berganini uzatadi. Umumiy manzilni dinamik DNSda e'lon qilish mijozlarni ko'plab abonentlar ishlatadigan ISP shlyuziga yo'naltiradi, shuning uchun nom hal bo'ladi, ammo qo'l siqish baribir muvaffaqiyatsiz tugaydi. Hairpin sinovlari muvaffaqiyatli bo'ladi, chunki router o'z qoidasiga ichkaridan javob beradi va UPnP ham xuddi shunday ko'r nuqtaga ega.

Mijozni qayta sozlash ham yordam bermaydi, chunki nosozlik mijozning har qanday sozlamasi o'qilishidan oldin sodir bo'ladi.

Aniq marshrutlar bilan VPS orqali rele

Oldiga ommaviy manzil qo'ying: trafikni ko'tara oladigan eng kichik VPSni ijaraga olib, so'ng uy routerini u yerga chiquvchi ulanish qilishga majbur qiling. Uy tarmog'idan chiquvchi UDP operator NATidan o'tadi, shuning uchun tunnel ichkaridan quriladi va VPS yetib borish mumkin bo'lgan oxirgi nuqtaga aylanadi. Uy tomoni qat'iy tunnel manziliga ega mijoz bo'ladi, server emas.

VPSda mijozga xos katalog yozuvini qo'shing, server uy quyi tarmog'i qaysi hamkorga tegishli ekanini bilsin va mos yadro marshrutini qo'shing.

# /etc/openvpn/server/ccd/home-site.conf
ifconfig-push 10.8.0.10 255.255.255.0
iroute 192.168.50.0 255.255.255.0

# server.conf
client-config-dir /etc/openvpn/server/ccd
route 192.168.50.0 255.255.255.0
push "route 10.8.0.0 255.255.255.0"

iroute satri OpenVPN ga uy quyi tarmog'i uchun trafikni qaysi mijoz olishini aytadi; route satri o'sha quyi tarmoqni VPS yadro jadvaliga qo'yadi, paketlar tunnelga kira olsin. E'lon qilingan xizmat uchun ommaviy portni 10.8.0.10 ga yo'naltiruvchi manzil NAT qoidasini qo'shing va net.ipv4.ip_forward ni yoqing.

Yo'lni tashqaridan sinang

Ommaviy tomonda har bir sakrashni tekshiring, chunki muvaffaqiyatli tunnel xizmat yetib borishini isbotlamaydi. VPSdagi tinglash holati va paket tutish 'hech narsa kelmadi' va 'keldi va tashlandi' holatlarini ajratadi.

ss -lunp | grep 1194
tcpdump -ni any udp port 1194
nft list ruleset | grep -A4 dnat

# from a phone on mobile data, not the home Wi-Fi
nc -vz -u 203.0.113.10 1194

Agar tutish telefondan paketlarni ko'rsatsa, lekin javob bo'lmasa, keyingi bekat server konfiguratsiyasi yoki xavfsizlik devori. Agar tutish hech narsa ko'rsatmasa, mijoz hali ham hal qilmoqda yoki noto'g'ri manzilga yubormoqda.

Avval narxini baholashga arziydigan muqobillar

ISPdan ajratilgan IPv4 manzili eng qisqa yechim va odatda kichik oylik to'lov. VPN, mijoz tarmog'i va DNS yozuvlari barchasi qo'llab-quvvatlasa, mahalliy IPv6 ikki tomondagi tarjimani yo'q qiladi. Uy tarmog'i ichida quyi tarmoq routeri bo'lgan mesh qatlami VPSsiz ham xuddi shu releni beradi, ammo muvofiqlashtirish xizmatiga bog'liqlik evaziga.

Talab barqaror kiruvchi kirish bo'lsa va har bir qoida sizning nazoratingizda qolishi kerak bo'lsa, releni tanlang. Byudjet imkon bersa va maqsad shunchaki bu haqda o'ylashni to'xtatish bo'lsa, ISP manzilini tanlang.

O'xshash maqolalar