Sbarduno portiau yn erbyn anfon portiau ymlaen ar gyfer gweinydd VPN cartref

Mae anfon portiau ymlaen a sbarduno portiau yn yr un ddewislen ar y rhan fwyaf o lwybryddion cartref, a dyna pam y cânt eu trin fel dwy ffordd o wneud un gwaith. Rheol statig yw anfon ymlaen: mae cysylltiad sy’n dod i mewn i borth WAN yn cael ei gyfieithu i gyfeiriad a phorth sefydlog y tu mewn, boed rhywbeth arall yn digwydd ai peidio. Mae sbarduno yn amodol: mae’r llwybrydd yn gwylio traffig sy’n mynd allan ac yn agor mapio sy’n dod i mewn dim ond ar ôl i gysylltiad cyfatebol adael. Mae gweinydd VPN yn aros i rywun arall gysylltu gyntaf, felly’r amod hwnnw yw’r un peth na all ei fodloni byth.

Dwy reol â chylch bywyd gwahanol

Mae NAT IPv4 yn cadw cyflwr. Pan fydd gwesteiwr mewnol yn anfon pecyn allan, mae’r llwybrydd yn creu mapio fel y gall yr atebion ddod o hyd i’w ffordd yn ôl; mae pecyn sy’n dod i mewn nad yw’n cyfateb i unrhyw fapio yn cael ei ollwng, a dyna’r ymddygiad sy’n cadw desg heb ei diweddaru oddi ar y rhyngrwyd. Cofnod cyfieithu parhaol a ychwanegir â llaw yw anfon ymlaen. Twll dros dro a warchodir gan batrwm traffig yw sbarduno.

Y gwahaniaeth ymarferol yw amser. Mae anfon ymlaen yn bodoli o’r eiliad y’i cedwir nes i rywun ei ddileu. Mae mapio a sbardunwyd yn bodoli ar ôl i’r sbardun danio ac yn cau ar amserydd segur, a fesurir mewn munudau ar galedwedd defnyddwyr, neu ar unwaith wrth ailgychwyn.

Nid yw’r naill na’r llall yn fwy diogel yn y haniaethol. Mae anfon ymlaen yn datgelu un porth yn barhaus; mae sbardun yn ei ddatgelu dim ond ar ôl traffig allanol penodol. Ar gyfer gwasanaeth sy’n rhaid iddo dderbyn y pecyn cyntaf gan ddietthryn, dim ond un o’r ddau sy’n gweddu i’r gwaith.

Pam na fydd sbarduno yn cyhoeddi gweinydd

Mae gweinydd VPN yn oddefol o’i gynllun. Mae’r cymar, boed yn liniadur mewn caffi neu’n ffôn ar ddata symudol, yn anfon y pecyn cyntaf, ac nid oes gan y llwybrydd fapio ar ei gyfer. Nid oes dim y tu mewn wedi dechrau traffig i’r porth sbarduno, felly ni fydd y rheol byth yn tanio ac mae’r cysylltiad yn marw cyn i’r gwasgiad llaw ddechrau.

Lle mae sbarduno yn ymddangos fel pe bai’n gweithio, mae rhywbeth arall yn cynhyrchu traffig ar y porth sbarduno: cleient ar y LAN, stiliwr monitro, neu wiriadau allanol y gweinydd ei hun. Yna mae’r mapio yn agor ar gyfer y gwesteiwr hwnnw’n unig ac yn cau pan fydd y traffig yn stopio, felly mae’r cymar allanol nesaf yn methu eto tra bod y llwyddiant cyntaf yn eistedd yn y cofnod fel pe bai’n brawf.

Mae sbarduno hefyd fel arfer yn un gwesteiwr. Mae llawer o weithrediadau’n caniatáu i un ddyfais fewnol ddal y mapio ar y tro, sy’n gwbl anghywir ar gyfer gweinydd a ddylai ateb sawl cymar. Adeiladwyd y nodwedd ar gyfer rhaglenni sy’n agor cysylltiad rheoli allan ac yn disgwyl data i mewn ar ail borth, ac mae’n dal i weddu i’r siâp hwnnw.

Beth mae anfon ymlaen yn ei fapio mewn gwirionedd

Un cofnod cyfieithu yw anfon ymlaen: porth WAN a phrotocol i gyfeiriad a phorth mewnol. Mae angen gwrandawr sy’n rhedeg yn barod ar yr ochr arall, ac mae angen i’r cyfeiriad mewnol aros yn ei le. Mae les DHCP sy’n symud i beiriant arall yn anfon pob tiwnel i’r gwesteiwr anghywir, yn ddistaw, felly crëwch y cadwres cyn y rheol.

Mae’r protocol yn bwysicach nag y mae’r ffurflen yn ei awgrymu. Mae OpenVPN dros UDP angen anfon ymlaen UDP, mae WireGuard angen UDP, ac mae data IPsec yn cyrraedd fel ESP, protocol IP 50, nad oes ganddo unrhyw bortiau o gwbl. Nid yw ffurflen anfon ymlaen sy’n derbyn TCP neu UDP yn unig yn gallu mynegi hynny, felly mae IPsec angen passthrough neu fapio statig un-i-un yn lle rheol porth.

Yr haen uwchben eich llwybrydd

Dim ond y cyfieithu sy’n eiddo i chi y mae anfon ymlaen yn ei reoli. Os nad yw’r cyfeiriad WAN yn eiddo i chi, sef y sefyllfa y tu ôl i NAT cludwr lle mae tanysgrifwyr yn rhannu 100.64.0.0/10 fel y disgrifir yn RFC 6598, ni fydd y cysylltiad sy’n dod i mewn byth yn cyrraedd eich llwybrydd oherwydd bod y darparwr wedi cyfieithu gyntaf. Ni all unrhyw reol ar eich dyfais drwsio’r drefn honno.

Mae NAT dwbl yr un broblem ar raddfa fach. Mae eich llwybrydd yn anfon ymlaen i lwybrydd yr ISP, nad oes ganddo reol gyfatebol ac sy’n gollwng y pecyn. Naill ai ychwanegwch y rheol ar y ddyfais allanol, neu rhowch y ddyfais allanol yn y modd pont a gadewch i’ch un chi ddal y cyfeiriad cyhoeddus.

Dyna pam mae’n rhaid i’r prawf ddod o’r tu allan. Mae prawf o’r un LAN drwy’r cyfeiriad cyhoeddus yn dibynnu ar gefnogaeth hairpin NAT a gall lwyddo neu fethu am resymau nad ydynt yn ymwneud â’r rheol; ffôn ar ddata symudol, neu ffrind ar rwydwaith arall, yw’r gwiriad glanaf.

Cyfyngwch y rheol, yna gwiriwch y ddwy hanner

Anfonwch un porth i un cyfeiriad. Mae ystod a ychwanegwyd oherwydd bod y cymhellion cyntaf wedi methu yn ffordd y mae rhyngwynebau rheoli’n cyrraedd y rhyngrwyd, ac nid oes gan y gwrandawr VPN angen tudalen weinyddol y llwybrydd wedi’i chyhoeddi wrth ei ymyl.

Cadwch bopeth oedd eisoes yn gwarchod y gwrandawr hwnnw: hunaniaeth tystysgrif neu allwedd, mur cadw’r gwesteiwr, fersiynau pecyn cyfredol. Mae anfon ymlaen yn gadael pecyn i mewn; mae dilysu’n penderfynu a ddaw’r pecyn yn diwnel, a dau fethiant ar wahân yw’r rheini pan â rhywbeth o’i le.

Mae gan y gwiriad ddwy hanner. Rhaid i’r gwasgiad llaw gwblhau o rwydwaith allanol, ac yna rhaid i adnodd preifat y tu ôl i’r gweinydd ateb drwy’r tiwnel. Mae anfon ymlaen yn derbyn cysylltiad y tiwnel a dim mwy; mae llwybro ac awdurdodi ar gyfer 10.8.0.0/24 yn osodiad arall ar sgrin arall.

Penderfynwch â thri chwestiwn

Mae tri chwestiwn yn setlo’r dewis yn gynt nag unrhyw dabl cymharu:

• A oes rhywbeth yn cysylltu o’r tu allan fel y pecyn cyntaf? Yna defnyddiwch anfon ymlaen, neu relái. Ni all sbarduno agor heb draffig allanol na fydd byth yn bodoli.
• A oes rhaid i’r twll oroesi amser segur? Yna defnyddiwch anfon ymlaen, oherwydd mae mapio a sbardunwyd yn cau ar ei amserlen ei hun.
• Ai chi biau’r cyfeiriad WAN i’w gyhoeddi? Os nad chi, trwsiwch y haen uwchben cyn golygu unrhyw reol.

Os mai na yw’r ateb i’r tri, sef achos liniadur sy’n galw darparwr masnachol ei hun, nid oes angen y naill reol na’r llall. Mae cleient y tu ôl i NAT yn gweithio oherwydd ei fod yn creu’r mapio cyflwr ei hun, ac mae hynny’n cwmpasu’r rhan fwyaf o’r bobl sy’n darllen tudalen anfon portiau ymlaen hanner nos.