Porth ffynhonnell y cleient yn erbyn gwrandäwr y gweinydd mewn llif VPN
Cymharwch y ddau rif porth mewn un tiwnel: gwrandäwr sefydlog y gweinydd a ffynhonnell fer y cleient, a sut mae cyfieithiad llwybrydd yn eistedd rhyngddynt.
Mae dau rif yn ymddangos yn yr un sgwrs, ac nid yw'r naill na'r llall yn anghywir. Mae log y gweinydd yn dangos y gwrandäwr sy'n cynnig y gwasanaeth, mae'r gliniadur yn dangos y soced a anfonodd y datagram, ac mae llwybrydd yn y canol yn gallu ailysgrifennu'r ail ar y ffordd allan. Mae cymharu dau ben y sgwrs yn fwy defnyddiol na chymharu'r digidau. Mae'r gymhariaeth isod yn cadw'r gwrandäwr, soced y cleient a'r ffynhonnell a gyfieithwyd ar wahân, oherwydd maent yn ateb cwestiynau gwahanol.
Dau rif sy'n disgrifio dau ben cyferbyniol
Porth wedi'i ffurfweddu ar y gweinydd yw'r cyrchfan y mae'r cleient yn ei ddeialu. Fe'i gosodir gan bolisi, mae'n ymddangos yn y proffil, ac mae'n rhaid iddo fod ar agor ar ochr y gweinydd. Dewisir porth ffynhonnell y cleient yn lleol, fel arfer o'r ystod efemeraidd, ac mae'n bodoli fel bod gan yr ateb le i lanio. Gall newid ar bob ailgysylltiad, ac nid oes dim yn y cynllun yn dibynnu ar iddo aros yn sefydlog.
Gall llwybrydd yn y canol ailysgrifennu'r ffynhonnell honno yn ei fapio 'NAT' ei hun. Dyna pam nad oes gan y rhif a welir ar y gweinydd berthynas â'r un a ddewisodd y gliniadur yn aml.
Lle mae rhif y ffynhonnell yn newid ar y ffordd allan
Cymerwch enghraifft IPv4 ddyfeisiedig: cleient y tu ôl i lwybrydd sy'n cyfieithu, gweinydd ag un gwrandäwr 'UDP', ac un datagram yn croesi'r ddau. Mae'r tabl yn enwi pob pen a'r hyn sy'n digwydd iddo, yn hytrach nag ailchwarae'r pecyn mewn tri phwynt arsylwi.
| Endpoint | What stays fixed | What changes on reconnect | Who owns it |
|---|---|---|---|
| Server listener | The service port and the address the profile names | Nothing; the listener does not follow the client | The server operator |
| Client socket | The destination it dials | The local source port, chosen per socket | The client, or its operating system |
| Translated source | Usually the public address of the router | The port, and sometimes the address after a network switch | The NAT device or the upstream carrier |
Mae'r cyrchfan yn gyson ym mhob rhes, a dim ond hunaniaeth y ffynhonnell sy'n newid. Gofynion UDP NAT yn gwahaniaethu rhwng cyfeiriad a phorth mewnol a'r mapio allanol, sef yn union y bwlch rhwng yr ail a'r drydedd res. Gall llwybrydd gadw porth ffynhonnell y cleient neu ddewis un arall; nid yw cadw yn rhywbeth y dylai cymhwysiad ei dybio.
Darllenwch y tri phen o'r gwesteiwyr eu hunain
Daw'r rhestrau isod o dri pheiriant gwahanol, ac maent gyda'i gilydd yn dangos y sgwrs gyfan. Rhedwch yr un cyntaf ar y gweinydd, yr ail ar y cleient, a'r trydydd lle bynnag y mae'r mapio'n bodoli. Nid yw un llinell log byth yn dangos y tri.
ss -lunp 'sport = :1194'
ss -unp | grep 1194
conntrack -L -p udp | grep 1194Mae'r rhestr gyntaf yn profi bod y gweinydd wedi'i rwymo i borth y gwasanaeth ac yn dangos pa broses sy'n berchen arno. Mae'r ail yn dangos soced lleol y cleient a'r cyrchfan y gwnaeth ei ddeialu. Mae'r trydydd yn dangos y mapio a grëwyd gan y llwybrydd, a dyna'r unig le y mae'r ffynhonnell a gyfieithwyd yn ymddangos. Darllenwch nhw yn y drefn honno ac mae'r ddau rif yn rhoi'r gorau i edrych yn groes.
Beth mae ailgysylltiad yn ei newid, a beth nad yw
Mae rhai llwybryddion yn cadw porth ffynhonnell y cleient pan fo'n rhydd, ac mae eraill yn dyrannu un gwahanol bob tro. Mae'r ddau ymddygiad yn normal, a bydd cymhwysiad sy'n mynnu'r cyntaf yn torri ar yr ail. Nid yw newid mapio ar ôl ailgysylltiad neu newid rhwydwaith yn fai gweinydd: mae'r cleient yn agor soced newydd, mae'r llwybrydd yn dyrannu'r hyn sydd ganddo, ac mae'r gweinydd yn gweld ffynhonnell newydd ar yr un gwrandäwr. Byddai disgwyl i'r gweinydd dderbyn traffig a anfonwyd at borth cleient mympwyol yn fai.
Mae cleientiaid OpenVPN y gymuned yn cael yr ymddygiad hwn drwy nobind, sy'n gadael i'r system weithredu ddewis y porth lleol; mae'r porth anghysbell yn dal i ddod o'r proffil. Mae rhwymo'n benodol yn ddewis bwriadol, nid yn ofyniad protocol. Mae'r gweinydd yn parhau i gynnig un pen tra bo cleientiaid yn dewis eu hunaniaethau lleol eu hunain.
Labelwch y haenau ar wahân yn y cofnod
Y tu mewn i'r tiwnel mae ail sgwrs â'i phorthladdoedd ei hun. Mae gan gais HTTPS a gludir gan y tiwnel gyrchfan TCP 443, tra bod y cysylltiad amgryptiedig allanol yn defnyddio UDP 1194, felly nid yw newid porth ffynhonnell allanol yn newid dim yn y gwasanaeth mewnol.
Hyd yn oed yn yr haen allanol, mae protocol yn bwysig. Mae UDP 1194 a TCP 1194 yn ddau ben gwahanol, ac ni fydd gwrandäwr 'TCP' byth yn derbyn datagram UDP oherwydd bod y rhif yn cyfateb. Wrth ddogfennu defnyddiad, labelwch wrandäwr y gweinydd, soced y cleient a'r ffynhonnell a gyfieithwyd fel tri pheth gwahanol, ac ychwanegwch y cludiant at bob un.
Yna gadewch i bolisi ddilyn y rolau. Mae'r gweinydd yn agor y cludiant bwriadedig ar ei wrandäwr ac yn dal i ddilysu'r cyfoed; mae mur tân y cleient yn derbyn atebion i'w gyfnewid allan heb gyhoeddi gwasanaeth i mewn. Mae angen i hidlydd di-wladwriaeth ysgrifennu'r cyfeiriad dychwelyd yn benodol, a dyna'r rheswm ymarferol pam mae'r gwahaniaeth yn bwysig y tu hwnt i ddiagramau taclus.