A yw'r llwybrydd uwchradd wir yn dosbarthu porthladdoedd VPN sy'n dod i mewn?

Mae tri amod yn penderfynu a yw cyfeirio porthladd ar lwybrydd y labordy'n cyhoeddi unrhyw beth: beth mae'r ymyl uwchradd yn ei ddosbarthu, pa bolisi mae'n ei gymhwyso, ac a yw atebion yn dychwelyd ar hyd yr un llwybr. Nid yw cyfeiriad sy'n edrych yn gyhoeddus yn ateb yr un ohonynt. Felly hefyd rhagddodiad /30 neu gysylltiad allan sy'n gweithio. Trefnwch yr amodau hynny cyn newid NAT, neu bydd y rheol leol yn edrych yn doredig pan fydd y bloc ddau naid i ffwrdd.

Mae tri ateb yn penderfynu at bwy yr esgynwch

Gall perchennog yr ymyl uwchradd ddisgrifio'r trosglwyddiad mewn un o dair ffordd. Mae'r gyrchfan yn cael ei dosbarthu'n uniongyrchol i'ch rhyngwyneb, mae rhagddodiad ar wahân yn cael ei lwybro i'ch naid nesaf, neu mae rhywbeth o flaen yn cyfieithu'r cyfeiriad cyn iddo gyrraedd atoch. Mae pob ateb yn enwi dyfais wahanol sy'n rhaid caniatáu'r cysylltiad sy'n dod i mewn, a thîm gwahanol i'w ffonio pan na fydd hynny'n digwydd.

Hidlo yw'r pedwerydd newidyn ac mae'n annibynnol ar y tri i gyd. Gall rhwydwaith hidlo traffig sy'n cadw ei gyfeiriad cyhoeddus, ac nid yw cyfieithydd yn ffin bolisi yn awtomatig. Gofynnwch am gyfeiriadau ffynhonnell, trafnidiaeth a phorthladdoedd a ganiateir ar yr un pryd â'r dosbarthiad, oherwydd ni fydd porthladd a gyfeirir y mae'r ymyl yn ei ollwng byth yn cyrraedd eich rheol.

Darllenwch y trosglwyddiad fel contract gwasanaeth

Nodwch bump o werthoedd cyn cyffwrdd â llwybrydd y labordy: y cyfeiriad rhyngwyneb a neilltuwyd, hyd y rhagddodiad, y naid nesaf, y cyfeiriad cyrchfan y bydd cleientiaid allanol yn ei ddefnyddio, a'r union brotocol a phorthladd. Y gyrchfan yw'r un diddorol, oherwydd efallai nad yw'n gyfeiriad a ffurfweddwyd ar eich dyfais o gwbl. Os yw'r ymyl uwchradd yn disgwyl i gleientiaid gyrraedd cyfeiriad wedi'i gyfieithu, rhaid i DNAT lleol gyd-fynd â'r contract hwnnw yn hytrach na'r cyfeiriad rhyngwyneb a welwch.

Trafodaeth IETF ar ymddygiad waliau tân yn ein hatgoffa'n ddefnyddiol bod hidlo a chyfieithu'n swyddogaethau ar wahân. Mae'n esbonio pam y gall llwybrydd orfodi polisi mewnlif heb guddio cyfeiriadau, a pham nad yw NAT yn rhywle uwchradd yn profi bod hidlo'n digwydd yno. Triniwch y trosglwyddiad fel disgrifiad gwasanaeth â pherchennog a phroses newid.

Arsylwch un ymgais ar y ddau ffin

Mae un ymgais gul, gymeradwy wedi'i chydberthynu ar ddau bwynt yn disodli pentwr o ddyfalu. Rhedewch gipiad ar ryngwyneb WAN y labordy ar gyfer yr union gwpl, a gofynnwch i berchennog yr ymyl uwchradd arsylwi'r un cwpl yn yr ymyl. Cadwch gyrchfan, protocol, porthladd, ffynhonnell a stamp amser yn union yr un fath rhwng y ddau olygfa.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Darllenwch y pâr o ganlyniadau fel penderfyniad. Gwelwyd yn yr ymyl a gwelwyd ar WAN y labordy yn golygu bod y dosbarthiad a pholisi'r ymyl yn pasio'r ddau, felly parhewch gyda'r gwrandäwr neu DNAT. Gwelwyd yn yr ymyl ond nid ar WAN y labordy yn crybwyll dosbarthiad neu bolisi canolraddol, a'r ymyl uwchradd sydd nesaf i'w ffonio. Heb ei weld yn unrhyw le mae'n golygu bod y cwpl prawf, y ffynhonnell neu'r llwybr yn anghywir cyn unrhyw gwestiwn am wal dân.

Nid yw absenoldeb tystiolaeth mewn un cipiad yn brawf o wal dân. Canlyniad ffin yw sy'n dweud wrthych pa ddyfais i'w harchwilio nesaf.

Peidiwch â gadael i NAT lleol guddio'r ateb

Dim ond ar ôl i fewnlif gael ei gadarnhau y daw'r rheol leol yn ddiddorol. Cadarnhewch mai targed DNAT yw gwir gyfeiriad a phorthladd y gwrandäwr VPN, bod cyfeirio wedi'i alluogi ar gyfer y teulu perthnasol, a bod yr ateb yn gadael drwy'r rhyngwyneb y cyrhaeddodd y cais arno. Mae rheol sy'n ailysgrifennu'r gyrchfan ond nid y llwybr dychwelyd yn cynhyrchu'r un goramser ag y mae pecyn a ollyngwyd.

Cadwch ddiogelwch porthladd a throsglwyddiad cynhyrchu tra byddwch yn ymchwilio. Mae disodli'r llwybrydd neu ffugio ei gyfeiriad MAC i osgoi rheolyddion atodiad yn cyfnewid diagnosteg am doriad gwasanaeth. Mae porthladd drych neu gipiad cymeradwy yn rhoi'r un gwelededd heb ddatgysylltu gwasanaethau sy'n rhannu'r cyswllt.

Gorffenwch â'r map perchnogaeth: cyrchfan, dyfais sy'n dosbarthu, dyfais sy'n hidlo, mewnlif y labordy a gwrandäwr. Mae'r map hwnnw'n gwneud yr adolygiad cyfeirio porthladd nesaf yn fach, ac nid yw'n dilysu dim am y VPN ei hun.