تحفيز المنافذ مقابل إعادة توجيه المنافذ لخادم VPN منزلي

تقع إعادة توجيه المنافذ وتحفيز المنافذ في القائمة نفسها على معظم أجهزة التوجيه المنزلية، ولهذا يُعاملان كطريقتين لأداء مهمة واحدة. إعادة التوجيه قاعدة ثابتة: يُترجم الاتصال الوارد إلى منفذ WAN إلى عنوان ومنفذ داخليين ثابتين، سواء كان هناك شيء آخر يحدث أم لا. التحفيز مشروط: يراقب جهاز التوجيه الحركة الصادرة ولا يفتح تعيينًا واردًا إلا بعد خروج اتصال مطابق. خادم VPN ينتظر أن يتصل به شخص آخر أولًا، لذا فإن ذلك الشرط هو الشيء الوحيد الذي لا يمكنه تحقيقه أبدًا.

قاعدتان بدورتي حياة مختلفتين

إن NAT في IPv4 يحتفظ بالحالة. عندما يرسل مضيف داخلي حزمة إلى الخارج، ينشئ جهاز التوجيه تعيينًا كي تجد الردود طريقها للعودة؛ أما الحزمة الواردة التي لا تطابق أي تعيين فتُسقط، وهذا هو السلوك الذي يبقي حاسوبًا غير محدَّث بعيدًا عن الإنترنت. إعادة التوجيه إدخال ترجمة دائم يُضاف يدويًا. التحفيز ثقب مؤقت يحرسه نمط مرور.

الفرق العملي هو الوقت. توجد إعادة التوجيه من لحظة حفظها حتى يحذفها أحد. أما التعيين المحفَّز فيوجد بعد انطلاق المحفز ويُغلق بمؤقت خمول، يُقاس بالدقائق على الأجهزة الاستهلاكية، أو فورًا عند إعادة التشغيل.

لا أحدهما أكثر أمانًا في المجرد. إعادة التوجيه تكشف منفذًا واحدًا باستمرار؛ والمحفز يكشفه فقط بعد حركة صادرة محددة. ولخدمة يجب أن تقبل أول حزمة من غريب، يطابق المهمة واحد منهما فقط.

لماذا لن ينشر التحفيز خادمًا

خادم VPN سلبي بحكم التصميم. النظير، سواء كان حاسوبًا محمولًا في مقهى أو هاتفًا على بيانات الجوال، يرسل أول حزمة، وليس لدى جهاز التوجيه أي تعيين لها. لا شيء في الداخل بدأ حركة إلى منفذ المحفز، لذا لا تنطلق القاعدة أبدًا ويموت الاتصال قبل أن تبدأ المصافحة.

وحيث يبدو التحفيز ناجحًا، فإن شيئًا آخر يولّد حركة على منفذ المحفز: عميل على الشبكة المحلية، أو مسبار مراقبة، أو فحوص صادرة من الخادم نفسه. فيُفتح التعيين لذلك المضيف وحده ويُغلق عندما تتوقف الحركة، لذا يفشل النظير الخارجي التالي مرة أخرى بينما يظل النجاح الأول في السجل وكأنه دليل.

التحفيز أيضًا أحادي المضيف عادةً. تسمح تطبيقات كثيرة لجهاز داخلي واحد بحمل التعيين في وقت واحد، وهذا خطأ تام بالنسبة لخادم عليه أن يجيب عدة نظراء. صُممت الميزة لتطبيقات تفتح اتصال تحكم صادرًا وتتوقع بيانات واردة على منفذ ثانٍ، وما زالت تناسب ذلك الشكل.

ما تعيّنه إعادة التوجيه فعليًا

إعادة التوجيه إدخال ترجمة واحد: منفذ WAN والبروتوكول إلى العنوان والمنفذ الداخليين. تحتاج إلى مستمع يعمل بالفعل على الطرف الآخر، وتحتاج إلى أن يبقى العنوان الداخلي في مكانه. إجارة DHCP تنتقل إلى جهاز آخر ترسل كل نفق إلى المضيف الخاطئ، بصمت، لذا أنشئ الحجز قبل القاعدة.

البروتوكول يهم أكثر مما يوحي الشكل. OpenVPN عبر UDP يحتاج إعادة توجيه UDP، وWireGuard يحتاج UDP، وبيانات IPsec تصل كـ ESP، بروتوكول IP رقم 50، وهو بلا منافذ على الإطلاق. ونموذج إعادة توجيه لا يقبل إلا TCP أو UDP لا يستطيع التعبير عن ذلك، لذا يحتاج IPsec إلى تمرير أو تعيين ثابت واحد لواحد بدلًا من قاعدة منفذ.

الطبقة فوق جهاز التوجيه

إعادة التوجيه لا تتحكم إلا في الترجمة التي تملكها. فإن لم يكن عنوان WAN ملكك، وهو الحال خلف NAT من فئة الناقل حيث يتشارك المشتركون 100.64.0.0/10 كما هو موصوف في RFC 6598، فإن الاتصال الوارد لا يصل إلى جهاز التوجيه أبدًا لأن المزود ترجم أولًا. لا قاعدة على جهازك يمكنها إصلاح ذلك الترتيب.

NAT المزدوج هو المشكلة نفسها بحجم مصغر. يوجّه جهاز التوجيه إلى جهاز توجيه مزود الخدمة، الذي لا يملك قاعدة مطابقة فيسقط الحزمة. إما أن تضيف القاعدة على الجهاز الخارجي، أو تضع الجهاز الخارجي في وضع الجسر وتدع جهازك يحتفظ بالعنوان العام.

لهذا يجب أن يأتي الاختبار من الخارج. الاختبار من الشبكة المحلية نفسها عبر العنوان العام يعتمد على دعم NAT الانعكاسي وقد ينجح أو يفشل لأسباب لا علاقة لها بالقاعدة؛ وهاتف على بيانات الجوال، أو صديق على شبكة أخرى، هو الفحص الأنظف.

حدّد نطاق القاعدة، ثم تحقق من الشطرين

وجّه منفذًا واحدًا إلى عنوان واحد. النطاق المضاف لأن المحاولات الأولى فشلت هو الطريق الذي تنتهي به واجهات الإدارة على الإنترنت، والمستمع لا يحتاج إلى نشر صفحة إدارة جهاز التوجيه بجانبه.

أبقِ كل ما كان يحمي ذلك المستمع: هوية الشهادة أو المفتاح، وجدار حماية المضيف، وإصدارات الحزم الحالية. إعادة التوجيه تسمح بمرور حزمة؛ والمصادقة تقرر ما إذا كانت الحزمة ستصبح نفقًا، وهذان فشلان منفصلان عندما يحدث خطأ.

للتحقق شطران. يجب أن تكتمل المصافحة من شبكة خارجية، ثم يجب أن يجيب مورد خاص خلف الخادم عبر النفق. إعادة التوجيه تسمح باتصال النفق ولا شيء أكثر؛ والتوجيه والتفويض لـ 10.8.0.0/24 إعداد آخر على شاشة أخرى.

قرّر بثلاثة أسئلة

ثلاثة أسئلة تحسم الاختيار أسرع من أي جدول مقارنة:

• هل يتصل شيء من الخارج، كأول حزمة؟ إذن استخدم إعادة التوجيه، أو مرحّلًا. التحفيز لا يفتح دون حركة صادرة لن توجد أبدًا.
• هل يجب أن يعيش الثقب أطول من زمن الخمول؟ إذن استخدم إعادة التوجيه، لأن التعيين المحفَّز يُغلق وفق جدوله الخاص.
• هل عنوان WAN ملكك لتنشره؟ إن لم يكن، فأصلح الطبقة الأعلى قبل تحرير أي قاعدة.

إذا كان الجواب على الأسئلة الثلاثة لا، وهو حال حاسوب محمول يتصل بمزود تجاري، فلا حاجة إلى أي من القاعدتين. العميل خلف NAT يعمل لأنه ينشئ التعيين الحافظ للحالة بنفسه، وذلك يغطي معظم من يقرأ صفحة إعادة توجيه المنافذ في منتصف الليل.