Marşrutlaşdırıcıda VPN və ya port yönləndirməsi: hansı üstün gəlir?

Marşrutlaşdırıcı VPN-i özü sonlandırır, köhnə yönləndirmə qaydası isə eyni UDP portunu yenə də LAN-dakı bir maşına göndərir. Bunlardan yalnız biri həqiqi son nöqtə ola bilər və nüvə bunlar arasında qərar vermir. Təyinat tərcüməsi paketi yerli xidmətə müraciət etməzdən əvvəl yenidən yazır, buna görə də VPN prosesi artıq başqa yerə göndərilmiş trafiki gözləyir. Vəzifə portun kimə aid olduğunu müəyyən etmək, sonra qaydaları uzlaşdırmaqdır.

Bir port, iki iddialı sahib

Marşrutlaşdırıcının içində işləyən VPN serverinə öz soketinə aparan daxil olan icazə lazımdır. Eyni port üçün təyinat-NAT qeydi tamamilə başqa yerə aparır: LAN ünvanına və yönləndirmə qərarına. Bunlar müxtəlif jurnalları və müxtəlif uğursuzluq rejimləri olan fərqli son nöqtələrdir. Adi işarə odur ki, bir ünvan ailəsi işləyir, digəri işləmir, çünki qalan qeyd tək bir ailə üçün yazılıb və heç vaxt yenidən nəzərdən keçirilməyib.

Redaktə etməzdən əvvəl iddianı yazın: ailə, xarici ünvan, nəqliyyat, port və tərcümə olunmuş hədəf.

Tərcümə yerli yoxlamadan əvvəl işləyir

Təyinat NAT-ı paketin hədəfini yönləndirmədən əvvəlki mərhələdə dəyişir, nüvə yerli çatdırılma ilə yönləndirmə arasında seçim etməzdən əvvəl. Hədəf LAN hostu olduqdan sonra paket yönləndirmə yolunu tutur. Marşrutlaşdırıcının öz soketi üçün giriş qaydalarına heç vaxt müraciət edilmir, buna görə də VPN jurnalı boş qalır, müştəri isə vaxt aşımına uğrayır.

Intended local entry:
WAN UDP 1194 -> router local socket -> input path

Conflicting old entry:
WAN UDP 1194 -> DNAT 192.168.50.10:1194 -> forward path

Bu sıra bütün mexanizmdir və cihaz interfeysləri onu dəyişmədən onay qutularının arxasında gizlədir. Paketin hansı yolu tutacağına yenə də təyinat sahibi qərar verir.

Əgər LAN hostu nəzərdə tutulan son nöqtədirsə, yönləndirmə düzgündür və marşrutlaşdırıcı həmin portda eyni zamanda dinləməməlidir.

Bir xəritələmə saxlayın, digərini silin

Həmin port və ailə üçün NAT qeydlərini sadalayın və qalanı seçin:

sudo iptables -t nat -S | grep 1194
sudo ss -lunp | grep :1194

Eyni nömrəli TCP qeydi UDP nasazlığı üçün əhəmiyyətsizdir və onları bir obyekt kimi qəbul etmək səhv qaydanın silinməsinə gətirib çıxarır. Yerli soket qalib gəlməlidirsə, ziddiyyətli xəritələmənin sahibi həmin bir qeydi silir və ya yenidən yazır, marşrutlaşdırıcının öz portu üçün daxil olan icazə isə yerində qalır. Əlaqəsiz yönləndirmələr, idarəetmə yolu və qaydalar dəstinin bir nüsxəsi hamısı dəyişiklikdən sonra qalmalıdır.

VPN ayrı hostda yaşayırsa, yönləndirmə düzgün obyektdir. Konteynerdə və ya virtual maşında olan xidmətə, qutu marşrutlaşdırıcı adlansa belə, dərc edilmiş port lazım ola bilər, ona görə də korpusdakı etiketə deyil, soketi və onun ad məkanını izləyin.

Sahibi kənardan təsdiqləyin

Hər ailəni ayrıca yoxlayın, çünki marşrutlaşdırıcıda bitən IPv6 bağlantısı köhnə qaydanın yönləndirdiyi IPv4 bağlantısı haqqında heç nə demir. Hansı son nöqtənin cavab verdiyini görmək üçün qəbul edən xidmətin jurnalını oxuyun və müştərinin uğur mesajını zəif sübut sayın. Mənalı sınaq üçün yeni axın tələb olunur. Kənar hostdan nc -zvu 203.0.113.7 1194 ilə zond göndərin və qalibin jurnalını journalctl -u openvpn@server -n 20 ilə oxuyun. Marşrutlaşdırıcının dinləyicisi bağlantını özü qeyd edir, LAN hostu isə onu öz xidmətində qeyd edir.

Bağlantı izləmə mövcud axınları ilkin xəritələmələrində saxlayır, buna görə qurulmuş sessiya yenicə düzəltdiyiniz qaydadan daha uzun yaşaya bilər.

Nəzərdə tutulan son nöqtə adi kimlik yoxlamaları ilə cavab verdikdən sonra tunelin arxasındakı özəl resursu yoxlayın. Xarici dinləyiciyə çatmaq yalnız ilk addımdır; daxili marşrutlaşdırma və tətbiq avtorizasiyası ayrı nəticələrdir.