VPN y tu ôl i NAT na allwch ei ffurfweddu: beth sy'n dal i weithio

Mae angen cyfeiriad a phorth y gall y ochr arall eu cyrraedd ar bob diweddbwynt twndl, a llwybrydd nad ydych yn ei weinyddu yw'r rheswm arferol dros fethu'r gofyniad hwnnw. Nid y triciau sy'n bodoli yw'r rhan ddiddorol, ond bod pob un yn dibynnu ar briodwedd o dabl mapio na allwch ei gweld o'r cleient. Mae dwy o'r priodweddau hynny'n penderfynu bron popeth: sut y caiff mapio ei greu, ac a yw'n derbyn pecynnau o gyfeiriad sydd na fu'r tu mewn mewn cysylltiad ag ef erioed. Trefnwch yr amgylchedd yn ôl y priodweddau hynny a bydd yr atebion dros dro yn peidio â bod yn llên gwerin.

Y tabl mapio sy'n penderfynu popeth

Mae cyfieithu cyfeiriadau rhwydwaith yn cadw tabl lle mae cyfeiriad a phorth mewnol yn cael eu cofnodi yn erbyn cyfeiriad a phorth cyhoeddus. Mae atebion sy'n cyfateb i gofnod yn cael eu cyfieithu'n ôl, ac nid oes gan becyn sy'n cyrraedd o'r tu allan heb gofnod cyfatebol unrhyw gyrchfan o gwbl. Mae'r un ymddygiad hwnnw'n esbonio pam mae gwrandäwr y tu ôl i'r llwybrydd yn anghyraeddadwy o'r rhyngrwyd. Mae hefyd yn esbonio pam mae'n rhaid i'r pecyn cyntaf ym mhob cyfeiriad ddechrau o'r tu mewn.

Edrychwch ar y tabl o ochr y llwybrydd ac mae'r atebion dros dro yn dod yn amlwg: naill ai mae rhywbeth yn creu cofnod parhaol, mae rhywbeth yn creu un dros dro ac yn ei gadw'n ffres, neu nid yw'r traffig byth yn mynd y ffordd honno. Gweddill yr erthygl yw'r tri achos hynny mewn trefn. Nid oes unrhyw beth yma'n dibynnu ar nodwedd gan werthwr y tu hwnt i'r hyn y mae'r tabl yn ei gofnodi.

Beth all y gwasanaeth cyfarfod ei wneud a beth na all

Mae tyllu UDP yn defnyddio'r cofnod allan fel agoriad dros dro yn hytrach na threchu'r hidlydd. Mae'r ddau gyfoed yn cysylltu â gwasanaeth cyfarfod, sy'n dysgu pob diweddbwynt cyhoeddus ac yn adrodd diweddbwynt y llall yn ôl. Yna mae'r ddau'n anfon at ei gilydd, ac mae pob pecyn allan yn creu neu'n adnewyddu'r cofnod sy'n gadael yr ateb i mewn. Y drefn sy'n ei wneud yn gweithio, a'r drefn hefyd sy'n ei wneud yn fregus: mae cyfoed sy'n anfon cyn i'r ochr arall greu ei gofnod yn cael ei ollwng yn syml, tra bo ail gynnig eiliad yn ddiweddarach yn llwyddo. Nid yw'r gwasanaeth ei hun yn cario unrhyw draffig VPN, felly ei unig ysgogiad yw'r amseru y mae'n ei gydlynu.

Ymddygiad mapio sy'n penderfynu'r gweddill, a RFC 4787 yn enwi'r tri siâp: annibynnol ar ddiweddbwynt, yn dibynnu ar gyfeiriad, ac yn dibynnu ar gyfeiriad a phorth. O dan yr olaf ohonynt, mae'r porth y mae'n rhaid i gyfoed ei dargedu yn newid gyda phob cyrchfan, felly mae rhagfynegi yn peidio â bod yn ddibynadwy. Dyna lle mae'r dechneg yn cyrraedd ei stryd ddall, oherwydd mae NAT graddfa gweithredwr a mur cadarn corfforaethol ill dau yn dileu'r rhagweladwyedd y mae'r cynllun ei angen, ac nid oes faint bynnag o ailgynnig yn dod ag ef yn ôl.

Keepalive, ailgychwyn a'r diweddbwynt sy'n symud

Ffwd yw llwybr wedi'i dyllu yn hytrach na gwrandäwr, felly rhaid i bopeth sy'n rhedeg ar ei ben oroesi newid. Rhaid iddo gadw'r mapio'n fyw â thraffig cyfnodol, sylwi pan fydd y diweddbwynt cyhoeddus yn symud, ac ailsefydlu ar ôl i'r llwybrydd ailgychwyn neu'r cyfeiriad gael ei ailddyrannu. Mae cynhyrchion mesh VPN yn rhoi'r rhesymeg honno yn eu plân rheoli eu hunain, tra bo gweinydd plaen yn ei gadael i chi. Dim ond tra bydd yr un mapio'n goroesi y mae keepalive yn helpu, ac maent yn costio batri ar gleient symudol, a dyna pam nad yw cyfwng ymosodol yn rhad ac am ddim.

Mae gliniadur sy'n cysgu am awr fel arfer yn dychwelyd ar ddiweddbwynt cyhoeddus gwahanol. Rhaid i bopeth sy'n ailsefydlu'r llwybr redeg eto o'r tu mewn, sy'n rhoi'r un gofyniad yn ôl ar y cleient.

Tair ffordd o osgoi anfon porth sydd ar goll

Mae'r ffordd gyntaf yn gofyn i'r llwybrydd greu'r cofnod ei hun, drwy UPnP IGD, NAT-PMP neu PCP, pan fydd y nodwedd yn bodoli ac yn cael ei chynnau. Mae'r ail yn rhoi'r traffig i gyfryngydd â chyfeiriad cyhoeddus, sy'n gweithio bob amser ac yn costio lled band bob amser ynghyd â ffin ymddiriedaeth wahanol. Mae'r drydedd yn gwrthdroi'r cyfeiriad: mae'r gwesteiwr mewnol yn agor twndl allan i weinydd cyhoeddus ac mae popeth arall yn teithio y tu mewn iddo.

[Peer]
PublicKey = 6yGj3kQ2wVb8sTn1pLx4dRc7hZa9mKf2uYe5oNq0iXw=
Endpoint = relay.corp.internal:51820
PersistentKeepalive = 25
AllowedIPs = 10.44.0.0/24

Mae diweddbwynt cyfryngydd yn gwneud y cyfnewid hwnnw'n weladwy yng nghyfluniad y cleient, lle mae'r diweddbwynt yn gyfryngydd yn hytrach na chyfeiriad cyfoed ei hun. Mae keepalive parhaol yn cadw'r mapio'n gynnes, ac mae'r rhagddodiaid a ganiateir yn penderfynu beth y caiff y cleient ei anfon drosto. Twndl gwrthdro o'r gwesteiwr mewnol yw'r un syniad gyda pherchennog gwahanol, ac nid oes angen unrhyw newid NAT o gwbl. Mae pob un o'r tair yn tynnu'r gofyniad i mewn heb drechu mur tân sy'n blocio traffig heb ei ofyn yn ôl ei gynllun, oherwydd mae'r traffig yn dal i ddechrau o'r tu mewn.

Cyfatebwch yr ateb dros dro i pwy sy'n berchen ar y llwybrydd

Os ydych yn gweinyddu'r llwybrydd, mae anfon UDP statig yn haws i'w archwilio nag unrhyw gynllun tyllu ac yn methu mewn ffyrdd y gwelwch chi. Os nad ydych, darganfyddwch a yw'r gwerthwr yn cynnig cyfryngydd neu blân rheoli wedi'i gynnal, ac a fyddai polisi'n caniatáu defnyddio un. Os nad oes yr un ar gael, y dewisiadau sy'n weddill yw twndl gwrthdro neu dderbyn nad yw'r diweddbwynt yn gyrraeddadwy o'r tu allan. Mae cofnodi pa un a ddefnyddiwyd gennych yn bwysicach nag y mae'n swnio, oherwydd mae'r opsiynau'n gwahaniaethu ynghylch pwy all arsylwi'r traffig a beth sy'n digwydd pan fydd trydydd parti'n newid rhywbeth.

Nodwch a oedd y llwybr y gwnaethoch chi orffen ag ef yn uniongyrchol neu drwy gyfryngydd, gan fod y ffaith unigol honno'n rhagfynegi oedi a ymddygiad methiant ill dau. RFC 4787 yw'r cyfeiriad o hyd ar gyfer yr ymddygiad mapio o dan y cyfan, ac mae darllen ei adran fapio yn gyflymach na phrofi tri ateb dros dro yn olynol. Nid oes ots gan y tabl pa opsiwn a ddewiswyd gennych; dim ond cofnodi beth y caiff y pecyn nesaf ei wneud y mae'n ei wneud.