Pordi käivitamine versus pordi edastamine koduse VPN-serveri jaoks
Käivitamine avab vastenduse alles väljuva liikluse järel; edastamine vastendab pordi jäädavalt. Kodune VPN-server vajab teist, piiratud tegeliku kuulajaga.
Pordi edastamine ja pordi käivitamine asuvad enamikul koduruuteritel samas menüüs, mistõttu koheldakse neid kui kahte viisi ühe töö tegemiseks. Edastamine on staatiline reegel: sissetulev ühendus WAN-pordile tõlgitakse fikseeritud siseaadressiks ja pordiks, sõltumata sellest, kas midagi muud toimub. Käivitamine on tingimuslik: ruuter jälgib väljuvat liiklust ja avab sissetuleva vastenduse alles pärast seda, kui väljub sobiv ühendus. VPN-server ootab, et keegi teine ühenduks esimesena, nii et just see tingimus on ainus, mida see kunagi täita ei suuda.
Kaks reeglit erineva elutsükliga
IPv4 NAT on olekupõhine. Kui sisemine host saadab paketi välja, loob ruuter vastenduse, et vastused leiaksid tee tagasi; sissetulev pakett, mis ei vasta ühelegi vastendusele, visatakse kõrvale, ja see käitumine hoiab uuendamata töölaua internetist eemal. Edastamine on käsitsi lisatud püsiv tõlkekirje. Käivitamine on liiklusmustri poolt valvatav ajutine auk.
Praktiline erinevus on aeg. Edastus eksisteerib salvestamise hetkest kuni keegi selle kustutab. Käivitatud vastendus eksisteerib pärast käivitaja rakendumist ja sulgub tühikäigu taimeril, mida tarbija riistvaral mõõdetakse minutites, või kohe taaskäivitamisel.
Kumbki ei ole abstraktselt turvalisem. Edastus paljastab ühe pordi pidevalt; käivitaja paljastab selle alles pärast kindlat väljuvat liiklust. Teenuse jaoks, mis peab vastu võtma esimese paketi võõralt, sobib tööga ainult üks neist kahest.
Miks käivitamine serverit ei avalda
VPN-server on oma olemuselt passiivne. Vastaspool, olgu see kohvikus sülearvuti või mobiilsideandmetel telefon, saadab esimese paketi ja ruuteril pole selle jaoks vastendust. Mitte miski sees ei alustanud liiklust käivituspordile, nii et reegel ei rakendu kunagi ja ühendus sureb enne, kui käepigistus algab.
Seal, kus käivitamine näib töötavat, tekitab käivituspordil liiklust miski muu: LAN-is olev klient, seireandur või serveri enda väljuvad kontrollid. Siis avaneb vastendus selle ühe hosti jaoks ja sulgub, kui liiklus lakkab, nii et järgmine väline vastaspool ebaõnnestub taas, samal ajal kui esimene õnnestumine seisab logis ja näeb välja nagu tõestus.
Käivitamine on tavaliselt ka ühe hosti oma. Paljud rakendused lubavad vastendust hoida korraga ainult ühel sisemisel seadmel, mis on täiesti vale serveri jaoks, mis peaks vastama mitmele vastaspoolele. Funktsioon loodi rakendustele, mis avavad väljuva juhtühenduse ja ootavad sissetulevaid andmeid teisel pordil, ja see sobib endiselt sellise kujuga.
Mida edastamine tegelikult vastendab
Edastamine on üks tõlkekirje: WAN-port ja protokoll siseaadressiks ja pordiks. See vajab kuulajat, mis juba töötab teises otsas, ja see vajab, et siseaadress jääks paigale. DHCP-lising, mis liigub teisele masinale, saadab iga tunnelid vaikselt vale hosti juurde, nii et looge reserveering enne reeglit.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
Protokoll loeb rohkem, kui vorm viitab. OpenVPN üle UDP vajab UDP-edastust, WireGuard vajab UDP-d ja IPsec-andmed saabuvad ESP-na, IP-protokoll 50, millel pole üldse porte. Edastusvorm, mis aktsepteerib ainult TCP või UDP, ei suuda seda väljendada, nii et IPsec vajab passthrough'd või staatilist üks-ühele vastendust pordireegli asemel.
Kiht ruuteri kohal
Edastamine juhib ainult seda tõlget, mis kuulub sulle. Kui WAN-aadress pole sinu oma, mis on olukord operaatori NAT-i taga, kus tellijad jagavad 100.64.0.0/10 nagu on kirjeldatud dokumendis RFC 6598, ei jõua sissetulev ühendus kunagi sinu ruuterini, sest teenusepakkuja tõlkis esimesena. Ükski reegel sinu seadmes ei suuda seda järjekorda parandada.
Topelt-NAT on sama probleem väikeses mõõtkavas. Sinu ruuter edastab ISP ruuterile, millel pole sobivat reeglit ja mis viskab paketi kõrvale. Kas lisa reegel välisseadmesse või pane välisseade sillarežiimi ja lase oma seadmel hoida avalikku aadressi.
Seetõttu peab test tulema väljastpoolt. Test samast LAN-ist läbi avaliku aadressi sõltub hairpin NAT-i toetusest ja võib õnnestuda või ebaõnnestuda reegliga mitteseotud põhjustel; telefon mobiilsideandmetel või sõber teises võrgus on puhtam kontroll.
Piira reegel ja seejärel kontrolli mõlemat poolt
Edasta üks port ühele aadressile. Vahemik, mis lisati seetõttu, et esimesed katsed ebaõnnestusid, on viis, kuidas haldusliidesed interneti jõuavad, ja VPN-kuulaja ei vaja ruuteri admin-lehekülge enda kõrval avaldatuna.
Hoia alles kõik, mis seda kuulajat juba kaitses: sertifikaadi või võtme identiteet, hosti tulemüür, ajakohased paketiversioonid. Edastamine laseb paketi sisse; autentimine otsustab, kas paketist saab tunnel, ja need on kaks eraldi tõrget, kui midagi läheb valesti.
Kontrollil on kaks poolt. Käepigistus peab lõpule jõudma välisest võrgust ja seejärel peab serveri taga olev privaatne ressurss tunnelist vastama. Edastamine laseb sisse tunneliühenduse ja mitte midagi enamat; marsruutimine ja autoriseerimine 10.8.0.0/24 jaoks on teine säte teisel ekraanil.
Otsusta kolme küsimusega
Kolm küsimust lahendavad valiku kiiremini kui ükski võrdlustabel:
- Kas midagi ühendub väljastpoolt esimese paketina? Siis kasuta edastamist või releed. Käivitamine ei saa avaneda väljuva liikluseta, mida kunagi ei teki.
- Kas auk peab üle elama tühikäiguaja? Siis kasuta edastamist, sest käivitatud vastendus sulgub oma ajakava järgi.
- Kas WAN-aadress on sinu, et seda avaldada? Kui pole, paranda ülemine kiht enne mis tahes reegli muutmist.
Kui vastus kõigile kolmele on ei, mis on olukord sülearvuti puhul, mis helistab ise kommertsteenusepakkujale, ei ole kumbagi reeglit vaja. NAT-i taga olev klient töötab, sest see loob olekupõhise vastenduse ise, ja see katab enamiku inimestest, kes loevad keskööl pordi edastamise lehekülge.