Pa borth VPN i'w hagor ar wal dân: protocol wrth brotocol

Mae dwy reol ar wahân yn penderfynu a fydd twndl VPN yn goroesi wal dân: y porth y mae'r cleient yn ei ddeialu, a'r protocol sy'n cario'r llwyth. Agorwch y gyntaf yn unig, bydd y twndl yn dilysu, ac wedyn ni fydd yn symud unrhyw ddata. Y lleiafswm yw un porth TCP a GRE ar gyfer PPTP, dau borth UDP a ESP ar gyfer L2TP/IPsec ac IKEv2, ac un porth ar gyfer SSTP, OpenVPN a WireGuard. Cyfeiriad, olrhain cyflwr a NAT sy'n penderfynu'r gweddill.

Dechreuwch o'r porth y mae'r cleient yn ei ddeialu

Mae gan bob teulu bwynt mynediad y mae'r cleient yn cysylltu ag ef gyntaf, a'r pwynt mynediad hwnnw yw'r hyn y mae'n rhaid i'ch rheol caniatáu ei enwi. Mae cleientiaid PPTP yn cysylltu â TCP 1723. Mae L2TP/IPsec yn dechrau IKE ar UDP 500 ac yn symud i UDP 4500 pan ddefnyddir tramwyo NAT, gyda ffrâm L2TP ei hun ar UDP 1701 y tu mewn i'r twndl. Mae SSTP yn lapio'r sesiwn mewn TLS ar TCP 443, mae IKEv2 yn negodi ar UDP 500 a 4500, mae OpenVPN yn defnyddio UDP 1194 yn ddiofyn ond yn aml yn cael ei symud i TCP 443, ac mae WireGuard yn gwrando ar UDP 51820.

Triniwch y rhifau hynny fel gwerthoedd diofyn yn hytrach na nodweddion sefydlog. Mae rhyngwyneb WireGuard yn defnyddio pa bynnag borth gwrando y mae ei ffurfweddiad yn ei ddatgan, ac mae modd i weinydd OpenVPN eistedd ar unrhyw borth a ddewiswyd gan y gweinyddwr. Darllenwch ffurfweddiad y gweinydd cyn ysgrifennu'r rheol, oherwydd nid yw wal dân a agorwyd ar gyfer 1194 yn gwneud dim i weinydd a symudwyd i 443.

Y drydedd golofn yw lle mae'r rhan fwyaf o docynnau newid yn mynd o'i le. Mae'r rheol yn bodoli, ond mae'n pwyntio at y cyrchfan anghywir, y cyfeiriad anghywir neu'r cludiant anghywir.

Rhifau protocol yw GRE ac ESP, nid porthladdoedd

Nid oes gan GRE ac ESP borthladdoedd o gwbl, felly ni all ffurflen wal dân sy'n derbyn rhifau porth yn unig eu mynegi. GRE yw protocol IP 47 ac ESP yw protocol IP 50, a'r ddau yn cael eu paru trwy faes protocol y pennawd IP. Nid yw rheol a ysgrifennwyd fel porth TCP 47 yn paru â dim, a dyna sut mae polisi PPTP yn edrych yn gywir ac yn dal i ollwng pob pecyn ar ôl yr ysgwyd llaw.

Mae llwybryddion defnyddwyr yn cuddio hyn y tu ôl i flwch ticio tramwyo sy'n gosod y rheol protocol ac, ar gyfer GRE, y cynorthwyydd NAT sydd ei angen i fapio'r llif. Ar wal dân go iawn rydych chi'n ychwanegu'r protocol eich hun: caniatáu protocol IP 47 i weinydd PPTP, caniatáu protocol IP 50 i giât IPsec. Lle nad yw'r platfform yn cynnig maes protocol, encapsulio yw'r ffordd allan, a dyna pam y gall IKEv2 ddisgyn yn ôl i UDP 4500 a pham nad yw OpenVPN a WireGuard byth yn taro'r broblem.

Gwiriwch beth mae'r rheol yn ei baru mewn gwirionedd cyn beio'r cleient. Mae rhifydd pecynnau sy'n aros ar sero ar y giât yn dweud na lansiodd y rheol erioed, ac nid yw unrhyw faint o ailosod ar ochr y cleient yn newid hynny.

Mae cyfeiriad, cyflwr a NAT yn newid yr ateb

Mae cleient sy'n deialu allan a giât sy'n gwrando i mewn yn ofynion gwahanol, a gall yr un rhestr borth fod yn gywir i'r naill gyfeiriad ac yn anghywir i'r llall. Mae wal dân â chyflwr yn olrhain llif UDP ar 500 a 4500 ac yn gadael i atebion ddychwelyd heb ail reol. Nid yw ESP a GRE yn cario porthladdoedd, felly nid oes gan ddyfais NAT unrhyw beth i afael ynddo ac mae angen cynorthwyydd neu encapsulio arni i ddilyn y sesiwn.

Tramwyo NAT yw'r rhan sy'n cael ei cholli. Mae IKEv2 yn dechrau ar UDP 500, yn canfod dyfais NAT, ac yn parhau ar UDP 4500, felly mae polisi sy'n caniatáu 500 yn unig yn rhoi twndl sy'n sefydlu ac wedyn yn mynd yn dawel. Mae L2TP/IPsec yn gwneud yr un symudiad. Os yw eich cipolwg yn dangos y cyfnewid cyntaf ond nid traffig parhaus, chwiliwch am reol sy'n stopio ar 500.

Cofnodwch y cyfeiriad gyda phob rheol. Nid yw «caniatáu UDP 4500» yn golygu dim nes i chi ddweud o ble i ble, ac mae rheol sy'n gywir ar gyfer cleient crwydro fel arfer yn anghywir ar gyfer cymar safle-i-safle.

Gwiriwch bob llwybr â chipolwg

Rhedwch y cipolwg ar y giât, nid ar y cleient: dim ond yr hyn a gyrhaeddodd y mae cleient yn ei gofnodi. Mae'r hidlwyr hyn yn cwmpasu'r teuluoedd uchod ac yn dangos pa gam sydd ar goll:

sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50

Darllenwch yr allbwn fel dilyniant. Pan fydd negodi yn ymddangos ond nad yw protocol y llwyth, mae'r gollwng yn digwydd rhywle rhwng y cleient a'r giât. Pan fydd y ddau yn ymddangos a'r dudalen yn dal i fethu, nid y wal dân yw'r sawl a amheuir mwyach; edrychwch ar lwybrwyr, DNS neu'r pwll cyfeiriadau a roddwyd i'r cleient.

Ar focs heb tcpdump, daw'r un dystiolaeth o rifyddion rhyngwyneb a rheolau. Mae beitiau'n mynd i mewn ond ddim allan ar ryngwyneb y twndl yn pwyntio at y llwybr dychwelyd yn hytrach nag at y rheol ganiatáu gychwynnol.

Gadewch set o reolau y gallwch ei hamddiffyn

Nid oes modd gwahaniaethu SSTP ar TCP 443 oddi wrth HTTPS cyffredin i unrhyw hidlydd sy'n seiliedig ar borthladdoedd, a dyna'r pwynt pan fo rhwydwaith yn caniatáu traffig gwe yn unig. Dyna hefyd pam y dylai rheol 443 enwi'r giât fel cyrchfan yn lle'r rhyngrwyd i gyd. Dilëwch reolau dros dro o unrhywbeth-i-unrhywbeth cyn gynted ag y bydd y twndl yn gweithio. Ysgrifennwch pa reol a barodd, y rhif protocol lle mae un, a'r cyfeiriad, fel bod y person nesaf yn dechrau o dystiolaeth.

Mae giatiau cwmwl pwynt-i-safle yn gwneud y dewis yn weladwy: mae'r proffil a lawrlwythwyd yn defnyddio naill ai SSTP ar 443 neu IKEv2 ar 500 a 4500, a dim ond yr un y mae'r proffil yn ei ddewis mewn gwirionedd y dylech ei agor. Nid yw PPTP yn werth yr eithriad GRE ar rwydwaith modern, gan fod cludwyr symudol yn aml yn gollwng protocol 47 waeth beth fo'ch wal dân. Cyn i chi gau'r tocyn, cadarnhewch fod y rheol yn cyfateb i'r porth yn ffurfweddiad y gweinydd, fod y maes protocol wedi'i osod lle mae'r teulu ei angen, a bod y cyrchfan yn giât yn hytrach nag unrhyw gyfeiriad.