Gall porthladdoedd UDP sefydlog osgoi anfon porthladdoedd ymlaen, ond nid pob NAT

Dau lwybrydd cartref, dim porthladdoedd wedi'u hanfon ymlaen, a VPN sy'n cysylltu weithiau beth bynnag. Mae UDP yn caniatáu hynny, oherwydd bydd mur tân yn derbyn pecyn y gall ei baru â llif y mae'r peiriant eisoes wedi'i gychwyn. Tric amodol yw hyn, nid nodwedd, ac mae'r amodau'n hawdd eu nodi unwaith y gwyddost beth mae'r mur tân yn cymharu. Dyma hefyd y rheswm pam mae proffiliau union yr un fath yn ymddwyn yn wahanol ar rwydweithiau gwahanol.

Y gymhariaeth y mae mur tân yn ei gwneud

Mae pob datagram allan yn creu cofnod byrhoedlog: cyfeiriad ffynhonnell, porthladd ffynhonnell, cyfeiriad cyrchfan, porthladd cyrchfan. Mae unrhyw beth sy'n cyrraedd ac yn cyfateb i'r cofnod yn cael ei drin fel ateb ac yn cael mynd trwodd. Nid oes gan reolau mewnol ddim i'w wneud â hyn.

Felly nid y cwestiwn yw a yw'r mur tân yn gadael y partner i mewn. Y cwestiwn yw a yw pecyn y partner yn edrych fel yr ateb y mae'r cofnod yn aros amdano. Newidia un maes o'r tuple pedair rhan honno ac mae'r pecyn yn troi'n ddieithryn. Dyna pam y gall gosodiad sy'n gweithio dorri pan fo dim ond rhif y porthladd yn newid, a dyna pam y gall yr un porthladd weithio ar un llwybrydd a methu ar y nesaf.

Gosoda'r porthladd ffynhonnell lleol yn sefydlog, a bydd yr un rhif yn ymddangos ar ddwy ochr y cyfnewid. Dyna'r mecanwaith cyfan, ac mae'n egluro pam mae'r tric yn fregus yn hytrach na dirgel.

Gosod un porthladd yn sefydlog ar bob pen

Porthladd UDP diofyn OpenVPN yw 1194, a lport sy'n pennu'r porthladd ffynhonnell y mae'n anfon ohono. Gosoda'r ddau bartner yn sefydlog a bydd tuple allan pob un yn pwyntio at borthladd y mae'r llall yn gwrando arno:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Nid yw hyn yn gweithio ond tra nad oes unrhyw lwybrydd rhyngddynt yn ailysgrifennu'r porthladd ffynhonnell. Pan fydd pecynnau'n ymddangos mewn cipiad ond nad oes twnnel yn codi, yr ailysgrifennu yw'r prif amheuyn.

Lle mae'r tuple yn peidio â chyfateb

Mae NAT sy'n mapio fesul cyrchfan yn rhoi porthladd allanol gwahanol i bob partner. Nid yw'r cyfeiriad y dywedwyd wrth dy bartner i'w ddefnyddio yn gyfeiriad sy'n ei gyrraedd, felly nid yw'r pecyn sy'n dod i mewn yn cyfateb i ddim ac yn cael ei daflu'n dawel.

Mae cyfieithu ar lefel y cludwr, NAT haenog a hap-drefnu porthladdoedd i gyd yn gorffen yr un ffordd. Felly hefyd unrhyw flwch canol sy'n ailysgrifennu porthladdoedd tra'n gadael cyfeiriadau'n llonydd.

Mae trafnidiaeth ffrwd yn waeth eu byd. Mae ysgwyd llaw TCP yn cael ei olrhain gam wrth gam, felly ni ellir trywanu VPN sy'n seiliedig ar TCP fel hyn o gwbl ac mae angen gwrandäwr rywle ar y llwybr.

Mae un ochr fel arfer yn methu'n gyntaf

Yn ymarferol anaml y mae'r ddwy rwydwaith yn ymddwyn yn debyg. Gall un llwybrydd roi mapio rhagweladwy tra bo'r llall yn rhoi porthladdoedd fesul cyrchfan, a'r canlyniad yw cyfluniad sy'n gweithio rhwng dau gartref ac yn methu o rwydwaith symudol. Mae adroddiadau sy'n gwrthddweud ei gilydd fel arfer yn disgrifio dau bâr gwahanol o lwybryddion. Nid oes yr un awdur yn anghywir, ac nid oes yr un canlyniad yn cyffredinoli.

Darganfydda pa ochr a ollyngodd y pecyn cyn cyffwrdd â'r proffiliau. Mae cipiadau ar y ddau ben yn setlo hyn mewn un ymgais: datagramau sy'n gadael A ac nad ydynt byth yn cyrraedd B sy'n golygu bod y llif wedi'i ailysgrifennu ar y daith, tra bo datagramau sy'n cyrraedd B heb ateb yn dod yn ôl yn golygu na wnaeth y mur tân eu derbyn fel rhai cysylltiedig.

Mae dau bartner â chyfeiriadau IPv6 cyhoeddus yn osgoi'r broblem gyfan. Heb gyfieithu nid oes dim i'w baru, felly mae rheol mur tân sy'n enwi'r partneriaid yn ddigon ac mae'r dyluniad yn peidio â dibynnu ar ymddygiad y llwybrydd.

Pryd i roi'r gorau i geisio

Gwesteiwr â chyfeiriad cyhoeddus yw'r ateb dibynadwy. Gall derfynu'r twnnel ar gyfer y ddau bartner, neu'n syml eu helpu i ddarganfod cyfeiriad allanol cyfredol ei gilydd, ac mae'r ddau drefniant yn gweithio beth bynnag a wna'r NAT. Mae troshaen a reolir yn rhoi'r un cydlyniad os yw polisi'n caniatáu.

Nid oes yr un o'r rhain angen mur tân wedi'i anablu. Mae diffodd diogelwch i ennill y cysylltiad uniongyrchol yn taflu'r rheswm pam roedd y cynnig uniongyrchol yn ddeniadol, ac mae'n gadael y peiriant yn agored am hyd y prawf.

Rhowch gynnig ar y trefniant uniongyrchol yn gyntaf, yna cofnodwch yr hyn a welaist. Mae ymddygiad NAT a'r cipiad a'i dangosodd yn werth mwy na'r pâr porthladd y gwnaethost eu defnyddio yn y pen draw, oherwydd bydd y rhwydwaith nesaf yn wahanol. Mae llawlyfr OpenVPN 2.6 yn dogfennu lport a'r opsiynau remote y mae hyn yn dibynnu arnynt.