NAT cymesur a VPN: mesurwch y mapio, nid y label

Mae edefyn cymorth yn gorffen â’r dyfarniad “NAT cymesur, ni fydd y VPN yn gweithio yma”, ac yna mae’r cleient yn cael ei ailosod deirgwaith yn ddi-bwrpas. Mae’r label yn gwneud niwed oherwydd ei fod yn ateb cwestiwn na ofynnodd neb. Mae cleient sy’n cysylltu allan i weinydd sefydlog yn creu mapio yr eiliad y mae’n anfon y pecyn cyntaf, ac mae’r ateb yn cael dod yn ôl o dan reolau y mae bron pob rhwydwaith yn eu gweithredu. Yr hyn y mae mapio sy’n dibynnu ar y pen draw yn ei wir gymhlethu yw dau gymar sy’n ceisio cyrraedd ei gilydd ar yr un pryd, ac mae hynny’n brawf gwahanol.

Mae dau gwestiwn yn cuddio y tu ôl i un label

Y cwestiwn cyntaf yw a all gwesteiwr y tu ôl i’r rhwydwaith hon agor sesiwn i gyfeiriad cyhoeddus a phorth hysbys. I gleient twnnel dyma’r achos arferol, a’r ateb yw ie bron bob tro. Mae’r llwybrydd yn cofnodi’r ffynhonnell fewnol, yn dyrannu porth allanol, ac yn gadael yr ateb drwodd oherwydd ei fod yn perthyn i sesiwn a ddechreuodd o’r tu mewn.

Yr ail gwestiwn yw a all dau westai y tu ôl i wahanol rwydweithiau ddarganfod llwybr a rennir ac anfon at ei gilydd heb weinydd yn y canol. Mae hynny’n dibynnu ar sut mae pob rhwydwaith yn dyrannu’r porthladdoedd allanol hynny, a dyma’r unig le y mae ymddygiad y mapio yn bwysig.

Mae cymysgu’r ddau yn cynhyrchu’r camddiagnosis clasurol: mae nodwedd cymar-i-gymar yn methu, mae rhywun yn rhedeg prawf math NAT, yn gweld y categori gwaethaf, ac yn dod i’r casgliad na all y twnnel arferol weithio chwaith. Nid y twnnel oedd yr hyn a fethodd erioed.

Mae mapio a hidlo yn briodweddau ar wahân

Mae termenyddiaeth RFC yn fwy manwl na’r enwau y mae gwerthwyr yn eu defnyddio, ac mae’n werth ei chludo i’r tocyn oherwydd ei bod yn setlo dadleuon. Mapio yw sut y caiff y porth allanol ei ddyrannu. Hidlo yw pa becynnau sy’n dod i mewn a ganiateir i basio. Gall rhwydwaith fod yn llym yn un ac yn hael yn y llall, a’r cyfuniad hwnnw yw’r hyn y mae protocol cymar-i-gymar yn gorfod ei oroesi.

Y drydedd res yw’r hyn y mae’r rhan fwyaf o lwybryddion defnyddwyr a chludwyr symudol yn ei olygu wrth sôn am gymesur. Sylwch mai dim ond y dyraniad y mae’r label yn ei ddisgrifio. Gall rhwydwaith â’r mapio hwnnw a hidlo hael dderbyn pecynnau sy’n dod i mewn i’r porth a ddyrannwyd ganddi gynnau, a dyna pam mae tyllu tyllau yn llwyddo ar rai ohonynt ac yn methu ar eraill.

Mae gan hidlo ei dri achos ei hun a’i enw ei hun ar gyfer pob un. Mae ysgrifennu “NAT cymesur” mewn tocyn pan fyddwch yn golygu “hidlo sy’n dibynnu ar gyfeiriad a phorth” yn anfon y person nesaf i’r bennod anghywir o’r llawlyfr. Mae’r ddau yn ymddwyn yn wahanol o dan brawf, felly nid yw’r camgymeriad yn academaidd.

Mesurwch y mapio yn lle ei enwi

Gallwch arsylwi’r porth a ddyrannwyd yn uniongyrchol o ochr gweinydd unrhyw wasanaeth UDP a reolwch. Dechreuwch gipio ar y gwesteiwr cyhoeddus, anfonwch o’r cleient, a darllenwch y porth ffynhonnell y cyrhaeddodd y pecyn ag ef:

sudo tcpdump -ni eth0 -c 10 'udp port 51820'
sudo wg show wg0 endpoints
sudo conntrack -L -p udp --dport 51820

Y llinell pen draw yw’r mwyaf defnyddiol o’r tri, oherwydd mae WireGuard yn cofnodi’r cyfeiriad a’r porth olaf a gafodd gan bob cymar. Cymharwch y porth hwnnw â’r un y mae’r cleient yn credu ei fod yn ei ddefnyddio. Byddant yn gwahaniaethu pryd bynnag y bydd unrhyw gyfieithu yn digwydd, a ’r cwestiwn pwysig yw a yw’r gwerth yn aros yn sefydlog.

Ailadroddwch yr arsylwi yn erbyn ail borth cyrchfan neu ail weinydd a chymharwch eto. Os yw’r porth allanol yn newid fesul cyrchfan, mae’r mapio yn dibynnu ar gyfeiriad a phorth. Os yw’n aros yr un fath, mae’r rhwydwaith yn rhoi un mapio i chi ac mae gan ddarganfod siawns.

Mae offerynau sy’n seiliedig ar STUN yn adrodd yr un dosbarthiad mewn un cam, ac maent yn iawn i’w defnyddio pan fydd y rhwydwaith yn caniatáu UDP allan i weinydd STUN cyhoeddus. Pan nad yw’n caniatáu, mae’r dull cipio uchod yn dal i weithio ac nid yw’n gofyn am ddim ond gwesteiwr sydd eisoes dan eich rheolaeth.

Dewiswch ateb sy’n cyfateb i’r methiant

Os mai’r nodwedd sy’n methu yw cymar-i-gymar, yr atebion a gefnogir yw cyfryngwr, gwasanaeth cyfarfod y gall y ddau gymar ei gyrraedd, neu dopoleg wahanol. Mae TURN yn bodoli’n union ar gyfer hyn, ac mae cynnyrch sy’n cludo ei gyfryngwr ei hun yn dweud wrthych ei fod yn disgwyl i rai rhwydweithiau fod yn elyniaethus.

Os mai’r nodwedd sy’n methu yw twnnel arferol, nid ymddygiad y mapio yw eich problem ac nid oes dim o’r uchod yn berthnasol. Gwiriwch fod y cleient yn anfon mewn gwirionedd, fod y gweinydd yn gweld y pecyn, a bod yr ateb yn dychwelyd. Mae’r dilyniant hwnnw yn dri arsylwad ac nid yw’n gofyn gwybod dim am gategori NAT y llwybrydd.

Yr hyn nad yw’n gweithio yw gwasgaru newidiadau porth lleol nes bod rhywbeth yn cysylltu. Nid yw newid porth ffynhonnell y cleient yn newid sut mae’r rhwydwaith yn dyrannu mapiadau. Mae llwyddiant damweiniol ar y pumed cynnig yn bositif ffug, a bydd yn cael ei ddyfynnu fel ateb am fisoedd.

Cofnodwch y bensaernïaeth, nid y dyfarniad

Mae nodyn defnyddiol yn dweud pa brotocol, i ba gyfeiriad y mae’r sesiwn yn dechrau, a oes cyfryngwr ar y llwybr, a beth a arsylwyd ar y wifren. Mae “NAT cymesur, ddim yn gweithio” yn ddiwerth, oherwydd mae ar yr un pryd yn anghywir am y twnnel ac yn ddiwybodaeth am lwybr y cymar.

Cynhwyswch sefydlogrwydd y porth a fesurwyd ac ymddygiad yr hidlo os gwnaethoch eu profi. Mae’r ddau ffaith hynny’n caniatáu i rywun arall ragweld a fydd nodwedd newydd yn gweithio ar y rhwydwaith honno heb ailadrodd yr holl ymchwiliad. Maent hefyd yn heneiddio’n well na chategori gwerthwr sy’n golygu rhywbeth ychydig yn wahanol ar bob tudalen help.

Yn olaf, cadwch dermenyddiaeth RFC 4787 wrth law pan fyddwch yn ei hysgrifennu. Mae defnyddio’r termau manwl yn costio un frawddeg ac yn atal y darllenydd nesaf rhag ailadrodd yr un camddiagnosis, a dyna holl bwrpas ysgrifennu’r nodyn o gwbl.