Ev VPN serveri üçün port tetikləmə və port yönləndirmə

Port yönləndirmə və port tetikləmə əksər ev marşrutlaşdırıcılarında eyni menyuda durur, buna görə də onlara bir işin iki yolu kimi baxılır. Yönləndirmə statik qaydadır: WAN portuna gələn daxil olan bağlantı sabit daxili ünvana və porta çevrilir, başqa bir şeyin baş verib-verməməsindən asılı olmayaraq. Tetikləmə şərtlidir: marşrutlaşdırıcı xaricə gedən trafiki izləyir və daxil olan xəritələməni yalnız uyğun bağlantı xaricə çıxdıqdan sonra açır. VPN serveri əvvəlcə başqasının qoşulmasını gözləyir, yəni bu şərt onun heç vaxt yerinə yetirə bilmədiyi yeganə şeydir.

Fərqli həyat dövrləri olan iki qayda

IPv4 NAT vəziyyəti saxlayır. Daxili host paketi xaricə göndərəndə marşrutlaşdırıcı xəritələmə yaradır ki, cavablar geri yolunu tapsın; heç bir xəritələməyə uyğun gəlməyən daxil olan paket atılır və bu, yenilənməmiş masaüstünü internetdən kənarda saxlayan davranışdır. Yönləndirmə əl ilə əlavə edilən daimi tərcümə qeydidir. Tetikləmə trafik nümunəsi ilə qorunan müvəqqəti deşikdir.

Praktik fərq vaxtdır. Yönləndirmə yadda saxlanıldığı andan kimsə onu silənə qədər mövcuddur. Tetiklənmiş xəritələmə tətik işə düşdükdən sonra mövcuddur və boş qalma taymeri ilə bağlanır, istehlakçı avadanlığında dəqiqələrlə ölçülür, ya da yenidən başlatmada dərhal.

Heç biri mücərrəd şəkildə daha təhlükəsiz deyil. Yönləndirmə bir portu davamlı açıq saxlayır; tətik onu yalnız konkret xarici trafikdən sonra açır. İlk paketi yad adamdan qəbul etməli olan xidmət üçün bunlardan yalnız biri işə uyğundur.

Tetikləmə niyə serveri yayımlamır

VPN serveri dizaynına görə passivdir. Qarşı tərəf, kafedəki noutbuk və ya mobil datada olan telefon, ilk paketi göndərir və marşrutlaşdırıcının onun üçün xəritələməsi yoxdur. İçəridə heç nə tətik portuna trafik başlatmayıb, buna görə qayda heç vaxt işə düşmür və bağlantı əl sıxma başlamazdan əvvəl ölür.

Tetikləmənin işlədiyi göründüyü yerlərdə tətik portunda başqa bir şey trafik yaradır: LAN-dakı müştəri, monitorinq zondlaması və ya serverin öz xarici yoxlamaları. Sonra xəritələmə yalnız o host üçün açılır və trafik dayananda bağlanır, beləliklə növbəti xarici qarşı tərəf yenidən uğursuz olur, ilk uğur isə jurnalda sübut kimi görünür.

Tetikləmə həm də adətən tək hostludur. Bir çox tətbiq bir daxili cihaza bir anda xəritələməni saxlamağa imkan verir, bu isə bir neçə qarşı tərəfə cavab verməli olan server üçün tamamilə yanlışdır. Funksiya xaricə nəzarət bağlantısı açan və ikinci portda daxil olan məlumat gözləyən proqramlar üçün qurulub və hələ də o formaya uyğun gəlir.

Yönləndirmə əslində nəyi xəritələyir

Yönləndirmə bir tərcümə qeydidir: WAN portu və protokolu daxili ünvana və porta. Bunun üçün digər tərəfdə artıq işləyən dinləyici lazımdır və daxili ünvanın yerində qalması lazımdır. Başqa maşina keçən DHCP icarəsi hər tuneli səssizcə yanlış hosta göndərir, buna görə qaydadan əvvəl rezervasiyanı yaradın.

Protokol forma deyəndən daha önəmlidir. UDP üzərindən OpenVPN UDP yönləndirmə tələb edir, WireGuard UDP tələb edir və IPsec məlumatı ESP kimi, IP protokolu 50 kimi gəlir, onun heç portu yoxdur. Yalnız TCP və ya UDP qəbul edən yönləndirmə forması bunu ifadə edə bilməz, buna görə IPsec port qaydası əvəzinə passthrough və ya statik birə-bir xəritələmə tələb edir.

Marşrutlaşdırıcınızdan yuxarı təbəqə

Yönləndirmə yalnız sizə aid tərcüməni idarə edir. WAN ünvanı sizin deyilsə, daşıyıcı səviyyəli NAT arxasında vəziyyət belədir, abunəçilər RFC 6598 sənədində təsvir edildiyi kimi 100.64.0.0/10 ünvanını paylaşır, daxil olan bağlantı marşrutlaşdırıcınıza heç vaxt çatmır, çünki provayder əvvəlcə tərcümə edib. Cihazınızdakı heç bir qayda bu sıranı düzəldə bilməz.

İkiqat NAT miniatürdə eyni problemdir. Marşrutlaşdırıcınız ISP marşrutlaşdırıcısına yönləndirir, onun uyğun qaydası yoxdur və paketi atır. Ya qaydanı xarici cihazda əlavə edin, ya da xarici cihazı körpü rejiminə keçirin və öz cihazınızın ictimai ünvanı saxlamasına icazə verin.

Buna görə test xaricdən gəlməlidir. İctimai ünvan vasitəsilə eyni LAN-dan edilən test hairpin NAT dəstəyindən asılıdır və qaydayla əlaqəsiz səbəblərdən keçə və ya uğursuz ola bilər; mobil datada olan telefon və ya başqa şəbəkədəki dost daha təmiz yoxlamadır.

Qaydayı məhdudlaşdırın, sonra hər iki yarını yoxlayın

Bir portu bir ünvana yönləndirin. İlk cəhdlər uğursuz olduğu üçün əlavə edilən diapazon idarəetmə interfeyslərinin internetə çıxmasının yoludur və VPN dinləyicisi yanında marşrutlaşdırıcının admin səhifəsinin yayımlanmasına ehtiyac duymur.

O dinləyicini artıq qoruyan hər şeyi saxlayın: sertifikat və ya açar kimliyi, host firewall, cari paket versiyaları. Yönləndirmə paketi buraxır; autentifikasiya paketin tunelə çevrilib-çevrilməyəcəyini həll edir və nəsə səhv gedəndə bunlar iki ayrı uğursuzluqdur.

Yoxlamanın iki yarısı var. Əl sıxma xarici şəbəkədən tamamlanmalı, sonra serverin arxasındakı şəxsi resurs tuneldən cavab verməlidir. Yönləndirmə tunel bağlantısını buraxır və başqa heç nə; 10.8.0.0/24 üçün marşrutlaşdırma və avtorizasiya başqa ekranda başqa parametrdir.

Üç sualla qərar verin

Üç sual seçimi hər hansı müqayisə cədvəlindən daha sürətli həll edir:

• Xaricdən ilk paket kimi bir şey qoşulurmu? Onda yönləndirmə və ya relay istifadə edin. Tetikləmə heç vaxt mövcud olmayacaq xarici trafik olmadan aça bilməz.
• Deşik boş qalma vaxtından uzun yaşamalıdırmı? Onda yönləndirmə istifadə edin, çünki tetiklənmiş xəritələmə öz cədvəli ilə bağlanır.
• WAN ünvanı yayımlamaq üçün sizinmidir? Deyilsə, hər hansı qaydanı dəyişməzdən əvvəl yuxarı təbəqəni düzəldin.

Əgər hər üç sualın cavabı xeyrdirsə, kommersiya provayderinə qoşulan noutbuk üçün vəziyyət belədir, qaydaların heç biri lazım deyil. NAT arxasındakı müştəri işləyir, çünki vəziyyət saxlayan xəritələməni özü yaradır və bu, gecə yarısı port yönləndirmə səhifəsini oxuyanların əksəriyyətini əhatə edir.