Sabit UDP portları port yönləndirməsini keçə bilər, amma hər NAT deyil

İki ev marşrutlaşdırıcısı, yönləndirilmiş port yoxdur və VPN bəzən yenə də qoşulur. UDP buna icazə verir, çünki firewall, maşının artıq başlatdığı axınla uyğunlaşdıra bildiyi paketi qəbul edəcək. Bu, xüsusiyyət deyil, şərti bir hiylədir və şərtləri firewall-un nəyi müqayisə etdiyini bildikdən sonra sadalamaq asandır. Onlar həm də eyni profillərin müxtəlif şəbəkələrdə fərqli davranmasının səbəbidir.

Firewall-un apardığı müqayisə

Hər çıxan datagram qısaömürlü bir qeyd yaradır: mənbə ünvanı, mənbə portu, təyinat ünvanı, təyinat portu. Qeydə uyğun gələn hər şey cavab kimi qəbul edilir və buraxılır. Daxil olan qaydaların buna heç bir aidiyyəti yoxdur.

Yəni sual firewall-un qonşunu içəri buraxıb-buraxmadığı deyil. Sual qonşunun paketinin qeydin gözlədiyi cavaba bənzəyib-bənzəmədiyidir. Dörd hissəli həmin dəstin bir sahəsini dəyişin və paket yad bir şeyə çevrilir. Buna görə işləyən quraşdırma yalnız port nömrəsi dəyişəndə poza bilər və buna görə eyni port bir marşrutlaşdırıcıda işləyib növbətidə uğursuz ola bilər.

Yerli mənbə portunu sabitləyin və eyni nömrə mübadilənin hər iki tərəfində görünür. Bütün mexanizm budur və bu, hiylənin sirli deyil, kövrək olmasını izah edir.

Hər tərəfdə bir portu sabitləmək

OpenVPN-in standart UDP portu 1194-dür və lport göndərdiyi mənbə portunu təyin edir. Hər iki qonşunu sabitləyin və hər birinin çıxan dəsti digərinin dinlədiyi porta işarə edir:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Bu, yalnız aralarındakı heç bir marşrutlaşdırıcı mənbə portunu yenidən yazmadıqca işləyir. Paketlər tutmada görünür, amma tunel qalxmırsa, ilk şübhəli yenidən yazmadır.

Dəstin uyğunlaşmağı dayandırdığı yer

Hər təyinat üzrə xəritələyən NAT hər qonşuya fərqli xarici port verir. Qonşunuza istifadə etməsi deyilən ünvan ona çatan ünvan deyil, ona görə daxil olan paket heç nəyə uyğun gəlmir və səssizcə atılır.

Operator səviyyəli çevirmə, qatlanmış NAT və port təsadüfiləşdirməsi hamısı eyni cür bitir. Ünvanlara toxunmadan portları yenidən yazan istənilən ara qurğu da belədir.

Axın nəqliyyatları daha pisdir. TCP əl sıxma addım-addım izlənir, ona görə TCP əsaslı VPN bu üsulla heç cür deşilə bilməz və yolun hansısa yerində dinləyiciyə ehtiyac duyur.

Adətən əvvəlcə bir tərəf uğursuz olur

Təcrübədə iki şəbəkə nadir hallarda eyni davranır. Bir marşrutlaşdırıcı gözlənilən xəritələmə verə bilər, digəri isə hər təyinat üçün portlar verir və nəticə iki ev arasında işləyib mobil şəbəkədən uğursuz olan konfiqurasiyadır. Bir-birinə zidd hesabatlar adətən iki fərqli marşrutlaşdırıcı cütünü təsvir edir. Nə bir müəllif yanılır, nə də bir nəticə ümumiləşdirilə bilir.

Profillərə toxunmazdan əvvəl paketi hansı tərəfin atdığını öyrənin. Hər iki tərəfdə tutma bunu bir cəhddə həll edir: A-dan çıxıb B-yə heç çatmayan datagramlar axının yolda yenidən yazıldığını, B-yə çatıb cavabsız qalan datagramlar isə firewall-un onları əlaqəli kimi qəbul etmədiyini göstərir.

İctimai IPv6 ünvanlı iki qonşu bütün problemi yan keçir. Çevirmə olmayanda uyğunlaşdırılacaq heç nə yoxdur, ona görə qonşuları adlandıran firewall qaydası kifayətdir və dizayn marşrutlaşdırıcı davranışından asılı olmağı dayandırır.

Nə vaxt cəhdi dayandırmaq lazımdır

İctimai ünvanı olan host etibarlı cavabdır. O, tuneli hər iki qonşu üçün sonlandıra bilər və ya sadəcə bir-birinin cari xarici ünvanını tapmağa kömək edə bilər və NAT-lar nə etsə də hər iki quruluş işləyir. İdarə olunan overlar siyasət icazə verirsə eyni koordinasiyanı təmin edir.

Bunlardan heç birinə lazım olan şey söndürülmüş firewall deyil. Birbaşa əlaqəni qazanmaq üçün qorunmanı söndürmək birbaşa cəhdi cəlbedici edən səbəbi atır və maşını testin bütün müddəti boyunca açıq qoyur.

Əvvəlcə birbaşa quruluşu sınayın, sonra gördüklərinizi qeyd edin. NAT davranışı və onu göstərən tutma, sonunda istifadə etdiyiniz port cütündən daha dəyərlidir, çünki növbəti şəbəkə fərqli olacaq. OpenVPN 2.6 təlimatı sənədləşdirir lport və bunun asılı olduğu remote seçimlərini.