Porda ekagado kontraŭ porda plusendado por hejma VPN-servilo

Porda plusendado kaj porda ekagado staras en la sama menuo ĉe la plej multaj hejmaj enkursigiloj, kaj tial oni traktas ilin kiel du manierojn fari unu taskon. Plusendado estas statika regulo: envena konekto al WAN-pordo estas tradukata al fiksa interna adreso kaj pordo, sendepende de tio, ĉu io alia okazas. Ekagado estas kondiĉa: la enkursigilo observas eliran trafikon kaj malfermas envenan mapadon nur post kiam eliras kongrua konekto. VPN-servilo atendas, ke unue konektiĝu iu alia, do ĝuste tiu kondiĉo estas la sola afero, kiun ĝi neniam povas plenumi.

Du reguloj kun malsamaj vivcikloj

IPv4 NAT konservas staton. Kiam interna gastiganto sendas paketon eksteren, la enkursigilo kreas mapadon, por ke la respondoj trovu la vojon reen; envena paketo, kiu kongruas kun neniu mapado, estas forĵetata, kaj tio estas la konduto, kiu tenas neĝisdatigitan komputilon ekster la interreto. Plusendado estas konstanta traduka enskribo aldonita mane. Ekagado estas provizora truo gardata de trafika ŝablono.

La praktika diferenco estas tempo. Plusendado ekzistas de la momento, kiam oni konservas ĝin, ĝis iu forigas ĝin. Ekagita mapado ekzistas post kiam la ekagilo ekfunkciis kaj fermiĝas per senokupa tempigilo, mezurata en minutoj sur konsumanta aparataro, aŭ tuj ĉe restartigo.

Neniu el la du estas pli sekura abstrakte. Plusendado elmontras unu pordon senĉese; ekagilo elmontras ĝin nur post specifa elira trafiko. Por servo, kiu devas akcepti la unuan paketon de fremdulo, nur unu el tiuj kongruas kun la tasko.

Kial ekagado ne publikigos servilon

VPN-servilo estas pasiva laŭ sia konstruo. La partnero, ĉu tekokomputilo en kafejo aŭ telefono sur poŝtelefona datumaro, sendas la unuan paketon, kaj la enkursigilo havas neniun mapadon por ĝi. Nenio interne komencis trafikon al la ekaga pordo, do la regulo neniam ekfunkcias kaj la konekto mortas antaŭ ol la manpremo komenciĝas.

Tie, kie ekagado ŝajnas funkcii, io alia generas trafikon sur la ekaga pordo: kliento en la LAN, monitora sondilo, aŭ la propraj eliraj kontroloj de la servilo. Tiam la mapado malfermiĝas por tiu unu gastiganto kaj fermiĝas, kiam la trafiko ĉesas, do la sekva ekstera partnero denove malsukcesas, dum la unua sukceso sidas en la protokolo kaj aspektas kiel pruvo.

Ekagado ankaŭ kutime estas por unu gastiganto. Multaj efektivigoj permesas al nur unu interna aparato teni la mapadon samtempe, kio estas tute malĝusta por servilo, kiu devus respondi al pluraj partneroj. La funkcio estis konstruita por aplikaĵoj, kiuj malfermas eliran kontrolkonekton kaj atendas envenajn datumojn sur dua pordo, kaj ĝi ankoraŭ konvenas al tiu formo.

Kion plusendado efektive mapas

Plusendado estas unu traduka enskribo: WAN-pordo kaj protokolo al interna adreso kaj pordo. Ĝi bezonas aŭskultanton jam funkciantan ĉe la alia fino, kaj ĝi bezonas, ke la interna adreso restu tie, kie ĝi estas. DHCP-luo, kiu translokiĝas al alia maŝino, silente sendas ĉiun tunelon al la malĝusta gastiganto, do kreu la rezervon antaŭ la regulo.

La protokolo gravas pli, ol la formularo sugestas. OpenVPN super UDP bezonas UDP-plusendadon, WireGuard bezonas UDP, kaj IPsec-datumoj alvenas kiel ESP, IP-protokolo 50, kiu tute ne havas pordojn. Plusenda formularo, kiu akceptas nur TCP aŭ UDP, ne povas esprimi tion, do IPsec bezonas passthrough aŭ statikan unu-al-unu mapadon anstataŭ porda regulo.

La tavolo super via enkursigilo

Plusendado regas nur la tradukon, kiu apartenas al vi. Se la WAN-adreso ne estas via, kio estas la kazo malantaŭ portanta NAT, kie abonantoj kunhavas 100.64.0.0/10 kiel priskribite en RFC 6598, la envena konekto neniam atingas vian enkursigilon, ĉar la provizanto tradukis unue. Neniu regulo sur via aparato povas ripari tiun ordon.

Duobla NAT estas la sama problemo en malgranda skalo. Via enkursigilo plusendas al la ISP-enkursigilo, kiu havas neniun kongruan regulon kaj forĵetas la paketon. Aŭ aldonu la regulon sur la ekstera aparato, aŭ metu la eksteran aparaton en pontan reĝimon kaj lasu vian teni la publikan adreson.

Tial la testo devas veni de ekstere. Testo el la sama LAN tra la publika adreso dependas de subteno de harpingla NAT kaj povas sukcesi aŭ malsukcesi pro kialoj ne rilataj al la regulo; telefono sur poŝtelefona datumaro, aŭ amiko en alia reto, estas la pli pura kontrolo.

Limigu la regulon, poste kontrolu ambaŭ duonojn

Plusendu unu pordon al unu adreso. Gamo aldonita ĉar la unuaj provoj malsukcesis estas la vojo, laŭ kiu administraj interfacoj finiĝas en la interreto, kaj la VPN-aŭskultanto ne bezonas la administran paĝon de la enkursigilo publikigitan apud si.

Konservu ĉion, kio jam protektis tiun aŭskultanton: identecon per atestilo aŭ ŝlosilo, fajroŝirmilon de la gastiganto, aktualajn pakaĵversiojn. Plusendado enlasas paketon; aŭtentigo decidas, ĉu la paketo fariĝos tunelo, kaj tio estas du apartaj fiaskoj, kiam io misas.

La kontrolo havas du duonojn. La manpremo devas kompletiĝi el ekstera reto, kaj poste privata rimedo malantaŭ la servilo devas respondi tra la tunelo. Plusendado enlasas la tunelan konekton kaj nenion pli; enkursigo kaj rajtigo por 10.8.0.0/24 estas alia agordo sur alia ekrano.

Decidu per tri demandoj

Tri demandoj solvas la elekton pli rapide ol iu ajn kompara tabelo:

• Ĉu io konektiĝas de ekstere kiel la unua paketo? Tiam uzu plusendadon, aŭ relajson. Ekagado ne povas malfermiĝi sen elira trafiko, kiu neniam ekzistos.
• Ĉu la truo devas postvivi senokupan tempon? Tiam uzu plusendadon, ĉar ekagita mapado fermiĝas laŭ sia propra horaro.
• Ĉu la WAN-adreso estas via por publikigi? Se ne, riparu la tavolon supre antaŭ ol redakti iun ajn regulon.

Se la respondo al ĉiuj tri estas ne, kio estas la kazo por tekokomputilo, kiu mem vokas komercan provizanton, neniu el la reguloj necesas. Kliento malantaŭ NAT funkcias, ĉar ĝi mem kreas la statokonservan mapadon, kaj tio kovras la plej multajn el la homoj, kiuj legas paĝon pri porda plusendado noktomeze.