Un porthladd OpenVPN, tri gwasanaeth: pam mae porthladdoedd mewnol yn bwysig

Gall un sesiwn SSH, un ap gwe a un chwiliad enw rannu un cysylltiad VPN heb ymladd dros borthladdoedd. Mae'r cleient yn adeiladu un ffrwd wedi'i hamgryptio i'r porth, ac mae pob sgwrs rhaglen yn teithio ynddi. Oddi allan, dim ond cludiant a phorthladd y twnnel ei hun sy'n weladwy. Oddi mewn, mae pob gwasanaeth yn cadw ei borthladd ei hun ac yn dal i fod angen ei ganiatâd ei hun.

Beth mae'r ffrwd allanol yn ei chario, a beth mae'n ei guddio

Mae'r cleient yn lapio pob pecyn yng nghludiant y twnnel cyn iddo adael y peiriant. Mae gan y ffrwd allanol hon un porthladd cyrchfan, wedi'i osod pan ffurfweddwyd y VPN. Yn fewn y lap, mae pob pecyn gwreiddiol yn cadw cyfeiriad a phorthladd y gwasanaeth y mae'n ei dargedu. Mae'r porth yn tynnu'r lap ac yn llwybro yn ôl y pennawd mewnol, felly mae'r gyrchfan yn gweld cleient cyffredin yn cyrraedd o'r rhwydwaith.

Felly mae cipolwg ar ryngwyneb WAN yn dangos un sgwrs, nid tair. Dim ond ar ôl dadgapsiwleiddio y mae'r porthladdoedd mewnol yn ymddangos. Dyna pam y gall un agoriad wal dân gludo SSH, HTTPS a DNS ar yr un pryd.

# WAN side: one outer tuple, whatever the inner services are
tcpdump -ni wan0 'udp port 443'
# tunnel side: the inner tuples appear after decapsulation
tcpdump -ni tun0

Dogfennaeth TUN/TAP yn sôn am y trosglwyddiad lle mae dyfais TUN wedi'i llwybro yn trosglwyddo pecynnau IP rhwng y cnewyllyn a phroses yn y gofod defnyddiwr. Y trosglwyddiad hwnnw sy'n gwneud y pennawd mewnol yn weladwy i god llwybro a wal dân y porth. Mae hefyd yn egluro pam nad yw'r porthladd allanol yn dweud dim am ba wasanaethau sy'n cael eu caniatáu.

Mae'r anfon NAT yn perthyn i'r gwrandawr, nid i'r apiau

Mae porth a gynhelir ar eich liwt eich hun y tu ôl i NAT IPv4 angen un cyfieithiad i mewn: y cyfeiriad a'r porthladd cyhoeddus wedi'u mapio i wrandawr y VPN. Nid oes angen unrhyw reol ar gyfer SSH, HTTPS na DNS dim ond am fod defnyddwyr y twnnel yn cyrraedd yno. Byddai cyhoeddi'r porthladdoedd hynny'n datgelu gwasanaethau y mae'r twnnel yn eu hamddiffyn yn barod. Mae'r rheol anfon yn disgrifio cyraeddadwyedd y gwrandawr, nid caniatâd ar gyfer unrhyw beth y tu mewn.

Mae'r gwrthwyneb hefyd yn wir. Nid yw agor porthladd y twnnel yn datgelu dim arall, felly mae gwasanaeth sy'n cyrraeddadwy drwy'r twnnel yn unig yn cadw ei arwyneb cyhoeddus ar gau. Y gwahaniad hwnnw fel arfer yw'r rheswm dros gadw'r gwasanaeth yn breifat yn y lle cyntaf.

Polisi mewnol sy'n penderfynu mynediad mewn gwirionedd

Mae amgryptio yn amddiffyn y llwybr; nid yw'n awdurdodi cyrchfan. Mae llwybrau'r cleient yn dewis pa ragddodiadau sy'n mynd i mewn i'r twnnel, mae polisi anfon y porth yn penderfynu a all pecynnau ei adael, ac mae wal dân y gyrchfan ynghyd â mewngofnodi yn penderfynu a yw'r gwasanaeth yn ateb. DNS yw'r achos cliriaf: nid yw cludo ymholiadau yn gwneud i ddatryswr eu derbyn o'ch cronfa gleientiaid. Gall pob haen ddweud na'n annibynnol.

Profwch bob gwasanaeth ar wahân drwy'r twnnel. Nid yw chwiliad llwyddiannus yn dweud dim am y porthladd gwe, ac nid yw cais gwe llwyddiannus yn dweud dim am SSH.

dig @10.40.0.53 app.corp.example
nc -vz 10.40.0.10 8443
ssh -p 2222 [email protected]

Pan fydd y twnnel i fyny ac mae popeth yn methu, darllenwch dabl llwybr y cleient yn gyntaf. Pan fydd un gwasanaeth yn methu tra bo'r lleill yn gweithio, mae'r nam yn y gyrchfan honno. Mae'r ddau sylw hynny'n cyfeirio at berchnogion gwahanol, ac mae eu cymysgu'n gwastraffu amser.

Mae WireGuard yn tynnu'r un llinell

Mae WireGuard yn enwi ei wrandawr allanol gyda ListenPort, ac mae ap mewnol yn dal i ddefnyddio pa borthladd gwasanaeth bynnag sydd ei angen arno. AllowedIPs yw set o ragddodiadau wedi'u llwybro, nid rhestr o borthladdoedd gwasanaeth a ganiateir. Mae ei ddarllen fel rhestr caniatáu porthladdoedd yn cynhyrchu rheolau nad ydynt yn cyfateb i'r hyn y mae'r twnnel yn ei wneud. Mae'r enwi'n wahanol; nid yw'r haenu.

Caniatéwch y gwasanaeth ym mholisi mewnbwn lleol pan fydd yn rhedeg ar y penbwynt ei hun, neu ym mholisi anfon pan fydd y tu ôl i'r penbwynt hwnnw. Mae'r gwahaniaeth yn penderfynu pa set reolau sy'n gweld y pecyn.

Y siâp cyffredinol yw un cludiant allanol gyda llawer o sgyrsiau mewnol. Mae cynhyrchion sydd angen sawl cyfnewidiad allanol, neu brotocol IP gwahanol, yn ein hatgoffa mai'r patrwm un porthladd cyhoeddus sy'n disgrifio'r cynllun hwn, ac nid pob VPN.