Fiksaj UDP-pordoj povas preterpasi pordan plusendadon, sed ne ĉiun NAT

Du hejmaj enkursigiloj, neniuj plusenditaj pordoj, kaj VPN kiu tamen foje konektiĝas. UDP permesas tion, ĉar fajroŝirmilo akceptos paketon, kiun ĝi povas kongruigi kun fluo, kiun la maŝino jam komencis. Ĝi estas kondiĉa artifiko, ne funkcio, kaj la kondiĉoj facile eldireblas post kiam vi scias, kion la fajroŝirmilo komparas. Ili ankaŭ estas la kialo, ke identaj profiloj kondutas malsame en malsamaj retoj.

La komparo, kiun faras fajroŝirmilo

Ĉiu elira datagramo kreas mallongdaŭran rikordon: fonta adreso, fonta pordo, cela adreso, cela pordo. Ĉio alvenanta, kio kongruas kun la rikordo, estas traktata kiel respondo kaj lasata trapasi. Reguloj pri envena trafiko tute ne gravas.

Do la demando ne estas, ĉu la fajroŝirmilo lasas la kunulon enen. Ĝi estas, ĉu la paketo de la kunulo aspektas kiel la respondo, kiun la rikordo atendas. Ŝanĝu unu kampon de tiu kvarparta opo kaj la paketo fariĝas fremdulo. Tial funkcianta agordo povas rompiĝi, kiam ŝanĝiĝas nur la porda numero, kaj tial la sama pordo povas funkcii sur unu enkursigilo kaj malsukcesi sur la sekva.

Fiksu la lokan fontan pordon, kaj la sama numero aperas ambaŭflanke de la interŝanĝo. Tio estas la tuta mekanismo, kaj ĝi klarigas, kial la artifiko estas rompiĝema, ne mistera.

Fiksi unu pordon ĉe ĉiu fino

La defaŭlta UDP-pordo de OpenVPN estas 1194, kaj lport agordas la fontan pordon, el kiu ĝi sendas. Fiksu ambaŭ kunulojn kaj la elira opo de ĉiu montros al pordo, sur kiu la alia aŭskultas:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Tio funkcias nur dum neniu enkursigilo inter ili reskribas la fontan pordon. Kiam paketoj aperas en kaptaĵo sed neniu tunelo leviĝas, la reskribo estas la unua suspektato.

Kie la opo ĉesas kongrui

NAT, kiu mapas laŭ celo, donas al ĉiu kunulo malsaman eksteran pordon. La adreso, kiun oni diris al via kunulo uzi, ne estas la adreso, kiu atingas ĝin, do la envena paketo kongruas kun nenio kaj estas silente forĵetata.

Operatornivela tradukado, tavoligita NAT kaj pordaj hazardigoj ĉiuj finiĝas same. Same ankaŭ ĉiu mezbokso, kiu reskribas pordojn lasante adresojn trankvile.

Flutransportoj estas pli malbone traktataj. TCP-manpremo estas spurata paŝon post paŝo, do TCP-bazita VPN tute ne truigeblas tiel kaj bezonas aŭskultanton ie sur la vojo.

Unu flanko kutime malsukcesas unue

Praktike la du retoj malofte kondutas same. Unu enkursigilo eble donas antaŭvideblan mapadon dum la alia donas pordojn laŭ celo, kaj la rezulto estas agordo, kiu funkcias inter du hejmoj kaj malsukcesas el poŝtelefona reto. Raportoj, kiuj kontraŭdiras unu la alian, kutime priskribas du malsamajn parojn de enkursigiloj. Neniu aŭtoro malpravas, kaj neniu rezulto ĝeneraligeblas.

Elserĉu, kiu flanko forĵetis la paketon antaŭ ol tuŝi la profilojn. Kaptaĵoj ĉe ambaŭ finoj solvas tion per unu provo: datagramoj, kiuj forlasas A kaj neniam atingas B, signifas, ke la fluo estis reskribita survoje, dum datagramoj, kiuj atingas B sen ke iu respondo revenas, signifas, ke la fajroŝirmilo ne akceptis ilin kiel rilatajn.

Du kunuloj kun publikaj IPv6-adresoj preteriras la tutan problemon. Sen tradukado ne estas io kongruigebla, do regulo de fajroŝirmilo, kiu nomas la kunulojn, sufiĉas kaj la dezajno ĉesas dependi de la konduto de enkursigiloj.

Kiam ĉesi provi

Gastiganto kun publika adreso estas la fidinda respondo. Ĝi povas fini la tunelon por ambaŭ kunuloj, aŭ simple helpi ilin malkovri la nunan eksteran adreson de la alia, kaj ambaŭ aranĝoj funkcias kion ajn faras la NAT-oj. Administrata surtavolaĵo provizas la saman kunordigon se politiko permesas tion.

Neniu el tiuj bezonas malŝaltitan fajroŝirmilon. Malŝalti protekton por gajni la rektan konekton forĵetas la kialon, pro kiu la rekta provo estis alloga, kaj ĝi lasas la maŝinon malfermita dum la tuta daŭro de la testo.

Provu unue la rektan aranĝon, poste notu, kion vi vidis. La konduto de NAT kaj la kaptaĵo, kiu montris ĝin, valoras pli ol la porda paro, kiun vi finfine uzis, ĉar la sekva reto estos malsama. La manlibro de OpenVPN 2.6 dokumentas lport kaj la elektojn remote, de kiuj tio dependas.