☰

Блокирует ли мой интернет-провайдер входящие подключения к моему серверу OpenVPN?

tag-icon • tag-icon routing firewall openvpn isp pfsense
Блокирует ли мой интернет-провайдер входящие подключения к моему серверу OpenVPN?

Я работаю над этим уже пару недель, но, похоже, прогресса нет.

У меня настроен аппаратный pfsense в качестве интернет-маршрутизатора, все работает нормально, за исключением того, что я не могу подключиться к серверу OpenVPN, работающему на pfsense.

Перед тем, как настроить pfsense как маршрутизатор, я поместил его за своим старым маршрутизатором, который действовал как fake-wan и протестировал мою настройку VPN - мне удалось подключиться. Но я могу заставить его работать в сети моего интернет-провайдера.

Я пробовал (в такой последовательности):

  • Входящий порт UDP 1195
  • Входящий порт UDP 1194
  • Входящий порт TCP 1194
  • Входящий порт TCP 443

Кажется, ничего не работает - tcpdump не показывает ничего на этих портах:
tcpdump -lnni igb0 port 1194 and src host xxx.76.19.66(удаленный IP, к которому я подключаюсь)

Моя конфигурация pfsense соответствует официальному руководству и мастеру настройки:

  • Режим сервера — удаленный доступ (SSL/TLS + аутентификация пользователя)
  • Настройка ключа TLS
  • Сертификаты проверены и настроены
  • Сеть туннелей IPv4: 10.0.8.0/24
  • Локальная сеть IPv4: 192.168.10.0/24

Мои правила брандмауэра: введите описание изображения здесь

Публичный IP-адрес сервера отличается от того, который обнаружен на WAN-порту pfsense: 172.18.36.162 — это мой локальный IP-адрес, внутренний по отношению к интернет-провайдеру.

Есть идеи, как мне еще устранить неполадки? Я позвонил провайдеру, но они мне ничего не говорят. Это небольшой провайдер, и я даже не уверен, что они что-то блокируют намеренно.

Вот что мне говорит nmap:

Starting Nmap 7.70 ( https://nmap.org ) at 2019-03-24 09:34 W. Europe Standard Time
Nmap scan report for 24.347.74.101
Host is up (0.00s latency).

PORT     STATE    SERVICE
1194/tcp filtered openvpn

Nmap done: 1 IP address (1 host up) scanned in 0.89 seconds

(ip заменен случайными числами)

Это должно отображаться в перехвате пакетов pfsense, верно?

решение1

Поздно, но все же дам ответ. Это очевидно, если посмотреть на IP, который мне назначил мой оператор:172.18.36.162

Подсеть 172.16.0.0является частьюблокировка частных IP-адресов.

Различные реестры (поддерживаются ARIN). 172.16.0.0/12 (172.16.0.0–172.31.255.255) зарезервирован для частных сетей (RFC 1918).

Это означает, что у моего оператора есть внутренняя сеть (и брандмауэр), все они подключены к одному публичному IP-адресу. Это называется CG-NAT (carrier grade nat).

При такой настройке невозможно заставить OpenVPN работать без изменения правил брандмауэра оператора.

Я позвонил им, они предложили мне публичный статический IP-адрес за 5 долларов США в месяц. С этого момента все заработало.

Связанный контент