Bezeroaren iturburu ataka eta zerbitzariaren entzulea VPN fluxu batean
Konparatu bi ataka zenbakiak tunel berean: zerbitzariaren entzule finkoa eta bezeroaren iturburu efimeroa, eta nola routerraren itzulpena bien artean dagoen.
Elkarrizketa berean bi zenbaki agertzen dira eta biak zuzenak dira. Zerbitzariaren erregistroak zerbitzua eskaintzen duen entzulea erakusten du, eramangarriak datagrama bidali zuen socketa erakusten du, eta tartean dagoen router batek bigarrena berridatz dezake irteeran. Elkarrizketaren muturrak alderatzea zenbakiak alderatzea baino erabilgarriagoa da. Beheko konparazioak entzulea, bezeroaren socketa eta itzulitako iturburua bereizten ditu, galdera desberdinei erantzuten dietelako.
Mutur kontrajarriak deskribatzen dituzten bi zenbaki
Zerbitzariaren konfiguratutako ataka bezeroak markatzen duen helmuga da. Politikak finkatzen du, profilean agertzen da eta zerbitzariaren aldean irekita egon behar du. Bezeroaren iturburu ataka lokalki hautatzen da, normalean tarte efimerotik, eta erantzunak non lurreratu behar duen egoteko dago. Konexio bakoitzean alda daiteke, eta diseinuan ezer ez da ataka horren egonkortasunaren mende.
Tartean dagoen router batek iturburu hori bere 'NAT' mapatzean berridatz dezake. Horregatik zerbitzarian ikusten den zenbakiak ez du askotan eramangarriak aukeratutakoarekin zerikusirik.
Non aldatzen den iturburu zenbakia irteeran
Hartu IPv4ko alegiazko adibide bat: itzultzen duen router baten atzean dagoen bezeroa, 'UDP' entzule bakarra duen zerbitzaria eta biak zeharkatzen dituen datagrama bakarra. Taulak mutur bakoitza eta hari zer gertatzen zaion izendatzen du, paketea hiru behaketa puntutan berriz erreproduzitu ordez.
| Endpoint | What stays fixed | What changes on reconnect | Who owns it |
|---|---|---|---|
| Server listener | The service port and the address the profile names | Nothing; the listener does not follow the client | The server operator |
| Client socket | The destination it dials | The local source port, chosen per socket | The client, or its operating system |
| Translated source | Usually the public address of the router | The port, and sometimes the address after a network switch | The NAT device or the upstream carrier |
Helmuga konstantea da errenkada bakoitzean, eta iturburuaren identitatea soilik aldatzen da. UDP NATen baldintzak barne helbidea eta ataka kanpoko mapatzetik bereizten dituzte, eta horixe da bigarren eta hirugarren errenkaden arteko aldea. Router batek bezeroaren iturburu ataka gorde dezake edo beste bat hautatu; gordetzea ez da aplikazio batek suposatu beharreko zerbait.
Irakurri hiru muturrak ostalarietan bertan
Beheko zerrendak hiru makina desberdinetatik datoz eta elkarrekin elkarrizketa osoa erakusten dute. Exekutatu lehena zerbitzarian, bigarrena bezeroan eta hirugarrena mapatzea dagoen lekuan. Erregistro lerro bakarrak ez ditu inoiz hirurak erakusten.
ss -lunp 'sport = :1194'
ss -unp | grep 1194
conntrack -L -p udp | grep 1194Lehen zerrendak frogatzen du zerbitzaria zerbitzu atakari lotuta dagoela eta zein prozesuk duen erakusten du. Bigarrenak bezeroaren socket lokala eta markatu zuen helmuga erakusten ditu. Hirugarrenak routerrak sortutako mapatzea erakusten du, eta itzulitako iturburua agertzen den leku bakarra da. Irakurri ordena horretan eta bi zenbakiek elkarren kontrako itxura izateari uzten diote.
Zer aldatzen duen berriz konektatzeak eta zer ez
Router batzuek bezeroaren iturburu ataka gordetzen dute libre dagoenean, eta beste batzuek beste bat esleitzen dute aldiro. Bi jokabideak normalak dira, eta lehena eskatzen duen aplikazioa bigarrenean hautsiko da. Berriz konektatu edo sarez aldatu ondorengo mapatze aldaketa ez da zerbitzariaren hutsegitea: bezeroak socket berria irekitzen du, routerrak duena esleitzen du eta zerbitzariak iturburu berria ikusten du entzule berean. Hutsegitea litzateke zerbitzariak bezero ataka arbitrario batera zuzendutako trafikoa onartuko duela espero izatea.
Komunitateko OpenVPN bezeroek jokabide hau nobind bidez lortzen dute, eta horrek sistema eragileari ataka lokala hautatzen uzten dio; urruneko ataka profiletik dator oraindik. Modu esplizituan lotzea erabaki kontzientea da, ez protokoloaren baldintza. Zerbitzariak mutur bakarra eskaintzen jarraitzen du, bezeroek beren identitate lokalak hautatzen dituzten bitartean.
Etiketatu geruzak bereiz erregistroan
Tunelaren barruan bigarren elkarrizketa dago, ataka propioekin. Tunelak daraman HTTPS eskaerak TCP 443 du helmuga, kanpoko konexio zifratuak UDP 1194 erabiltzen duen bitartean, beraz kanpoko iturburu ataka aldatzeak ez du ezer aldatzen barneko zerbitzuan.
Kanpoko geruzan ere protokoloa garrantzitsua da. UDP 1194 eta TCP 1194 mutur desberdinak dira, eta 'TCP' entzule batek ez du inoiz UDP datagramarik jasoko zenbakia bat datorrelako soilik. Hedapen bat dokumentatzean, etiketatu zerbitzariaren entzulea, bezeroaren socketa eta itzulitako iturburua hiru gauza desberdin gisa, eta gehitu garraioa bakoitzari.
Ondoren utzi politikari rolei jarraitzen. Zerbitzariak aurreikusitako garraioa irekitzen du bere entzulean eta oraindik ere parekidea autentifikatzen du; bezeroaren suebakiak bere irteerako trukeari erantzunak onartzen dizkio sarrerako zerbitzurik argitaratu gabe. Egoerarik gabeko iragazkiak itzulera norabidea esplizituki idatzita behar du, eta hori da bereizketa diagrama txukunetatik harago garrantzitsua izateko arrazoi praktikoa.