Quins ports VPN cal obrir al tallafoc: protocol per protocol

Dues regles separades decideixen si un túnel VPN sobreviu a un tallafoc: el port que marca el client i el protocol que transporta la càrrega. Obre només la primera i el túnel s'autentica, però després no mou cap dada. El mínim és un port TCP més GRE per a PPTP, dos ports UDP més ESP per a L2TP/IPsec i IKEv2, i un sol port per a SSTP, OpenVPN i WireGuard. La direcció, el seguiment d'estat i el NAT decideixen la resta.

Comença pel port que marca el client

Cada família té un punt d'entrada que el client contacta primer, i aquest punt d'entrada és el que ha de nomenar la teva regla de permís. Els clients PPTP es connecten a TCP 1723. L2TP/IPsec inicia IKE a UDP 500 i passa a UDP 4500 quan s'usa el travessament de NAT, amb la mateixa trama L2TP a UDP 1701 dins del túnel. SSTP embolcalla la sessió en TLS a TCP 443, IKEv2 negocia a UDP 500 i 4500, OpenVPN per defecte usa UDP 1194 però sovint es mou a TCP 443, i WireGuard escolta a UDP 51820.

Tracta aquests números com a valors per defecte i no com a propietats fixes. Una interfície WireGuard fa servir el port d'escolta que declari la seva configuració, i un servidor OpenVPN pot seure a qualsevol port que triï l'administrador. Llegeix la configuració del servidor abans d'escriure la regla, perquè un tallafoc obert per al 1194 no fa res per a un servidor que s'ha mogut al 443.

La tercera columna és on fallen la majoria de tiquets de canvi. La regla existeix, però apunta a la destinació equivocada, a la direcció equivocada o al transport equivocat.

GRE i ESP són números de protocol, no ports

GRE i ESP no tenen cap port, així que un formulari de tallafoc que només accepta números de port no els pot expressar. GRE és el protocol IP 47 i ESP és el protocol IP 50, tots dos es fan coincidir pel camp de protocol de la capçalera IP. Una regla escrita com a port TCP 47 no coincideix amb res, i així una política PPTP sembla correcta i tot i això descarta cada paquet després de l'encaixada de mans.

Els routers de consum amaguen això darrere d'una casella de pas que instal·la la regla de protocol i, per a GRE, l'ajudant de NAT necessari per mapar el flux. En un tallafoc real afegeixes el protocol tu mateix: permet el protocol IP 47 cap al servidor PPTP, permet el protocol IP 50 cap a la passarel·la IPsec. On la plataforma no ofereix camp de protocol, l'encapsulació és la sortida, per això IKEv2 pot recular a UDP 4500 i per això OpenVPN i WireGuard mai no troben el problema.

Comprova què fa coincidir realment la regla abans de culpar el client. Un comptador de paquets que es queda a zero a la passarel·la diu que la regla mai no s'ha activat, i cap quantitat de reinstal·lació al costat del client ho canvia.

La direcció, l'estat i el NAT canvien la resposta

Un client que marca cap enfora i una passarel·la que escolta cap endins són requisits diferents, i la mateixa llista de ports pot ser correcta en una direcció i incorrecta en l'altra. Un tallafoc amb estat segueix el flux UDP al 500 i al 4500 i deixa tornar les respostes sense una segona regla. ESP i GRE no porten ports, així que un dispositiu NAT no té res on enganxar-se i necessita un ajudant o una encapsulació per seguir la sessió.

El travessament de NAT és la part que es passa per alt. IKEv2 comença a UDP 500, detecta un dispositiu NAT i continua a UDP 4500, així que una política que només permet el 500 dona un túnel que s'estableix i després calla. L2TP/IPsec fa el mateix moviment. Si la teva captura mostra el primer intercanvi però no trànsit sostingut, busca una regla que s'aturi al 500.

Anota la direcció amb cada regla. «Permet UDP 4500» no vol dir res fins que dius d'on a on, i una regla correcta per a un client itinerant sol ser incorrecta per a un parell lloc a lloc.

Comprova cada camí amb una captura

Executa la captura a la passarel·la, no al client: un client només enregistra què ha arribat. Aquests filtres cobreixen les famílies anteriors i mostren quina etapa falta:

sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50

Llegeix la sortida com una seqüència. Quan la negociació apareix però el protocol de càrrega no, el descart es produeix en algun punt entre el client i la passarel·la. Quan tots dos apareixen i la pàgina encara falla, el tallafoc ja no és el sospitós; mira l'encaminament, el DNS o el conjunt d'adreces lliurat al client.

En una màquina sense tcpdump, la mateixa evidència ve dels comptadors d'interfície i de regles. Bytes que entren però no surten a la interfície del túnel apunten al camí de tornada i no a la regla de permís inicial.

Deixa un conjunt de regles que puguis defensar

SSTP a TCP 443 és indistingible d'un HTTPS corrent per a qualsevol filtre basat en ports, i aquest és el punt quan una xarxa només permet trànsit web. També és per això que la regla del 443 ha de nomenar la passarel·la com a destinació en lloc de tot internet. Esborra les regles temporals de qualsevol-a-qualsevol tan bon punt el túnel funcioni. Anota quina regla ha coincidit, el número de protocol on n'hi hagi i la direcció, perquè la següent persona comenci amb evidència.

Les passarel·les de núvol de punt a lloc fan visible l'elecció: el perfil descarregat usa o SSTP al 443 o IKEv2 al 500 i 4500, i hauries d'obrir només el que el perfil triï realment. PPTP no val l'excepció de GRE en una xarxa moderna, perquè les operadores mòbils sovint descarten el protocol 47 independentment del teu tallafoc. Abans de tancar el tiquet, confirma que la regla coincideix amb el port de la configuració del servidor, que el camp de protocol està posat on la família el necessita i que la destinació és la passarel·la i no qualsevol adreça.