Portu finkoek UDP portuen birbideratzea saihestu dezakete, baina ez NAT guztiek

Bi etxeko router, aurreratutako porturik ez, eta batzuetan hala ere konektatzen den VPN bat. UDPk hori uzten du, zeren su-hesi batek onartuko du makina dagoeneko hasitako fluxu batekin pareka dezakeen paketea. Baldintzapeko trikimailua da, ez funtzio bat, eta baldintzak erraz aipa daitezke su-hesiak zer konparatzen duen jakinda. Profil berberek sare desberdinetan desberdin jokatzearen arrazoia ere badaude.

Su-hesiak egiten duen konparaketa

Irteerako datagrama bakoitzak bizitza laburreko sarrera bat sortzen du: iturburu-helbidea, iturburu-portua, helburu-helbidea, helburu-portua. Sarrerarekin bat datorren edozein gauza erantzuntzat hartzen da eta pasatzen uzten da. Sarrerako arauek ez dute zerikusirik.

Beraz, galdera ez da su-hesiak bikotekidea barrura uzten duen. Galdera da bikotekidearen paketeak sarrerak itxaroten duen erantzunaren itxura duen. Aldatu lau zatiko tupla horretako eremu bat eta paketea arrotz bihurtzen da. Horregatik konfigurazio lan egiten duen bat hondatu daiteke portu-zenbakia soilik aldatzean, eta horregatik portu berak router batean funtziona dezake eta hurrengoan huts egin.

Finkatu tokiko iturburu-portua, eta zenbaki bera agertuko da trukaketaren bi aldeetan. Hori da mekanismo osoa, eta azaltzen du zergatik trikimailua hauskorra den, ez misteriotsua.

Portu bat mutur bakoitzean finkatzea

OpenVPNren UDP portu lehenetsia 1194 da, eta lport bidaltzen duen iturburu-portua ezartzen du. Finkatu bi bikotekideak eta bakoitzaren irteerako tuplak besteak entzuten duen portu batera seinalatuko du:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Hori bakarrik funtzionatzen du haien artean inongo routerrek iturburu-portua berridazten ez duen bitartean. Paketeak kapturan agertzen badira baina tunelik altxatzen ez bada, berridazketa da lehen susmagarria.

Non uzten dio tuplak bat egiteari

Helburuaren arabera mapatzen duen NAT batek kanpoko portu desberdina ematen dio bikotekide bakoitzari. Zure bikotekideari erabiltzeko esan zioten helbidea ez da hara iristen den helbidea, beraz sarrerako paketeak ez du ezerrekin bat egiten eta isilka baztertzen da.

Eragile-mailako itzulpena, NAT pilatua eta portuen ausazkotzea berdin amaitzen dira. Berdin helbideei ukitzen ez dien bitartean portuak berridazten dituen tarteko edozein gailu.

Fluxu-garraioek okerrago dute. TCP eskua-ematea urratsez urrats jarraitzen da, beraz TCPn oinarritutako VPN bat ezin da horrela zulatu eta bidean nonbait entzule bat behar du.

Normalean alde batek huts egiten du lehenengo

Praktikan bi sareek gutxitan jokatzen dute berdin. Router batek mapatze aurreikusteko modukoa eman dezake, besteak helburu bakoitzeko portuak ematen dituen bitartean, eta emaitza bi etxeren artean funtzionatzen duen eta sare mugikor batetik huts egiten duen konfigurazio bat da. Elkarri kontra egiten dioten txostenek normalean router pare desberdin bi deskribatzen dituzte. Inongo egilerik ez da oker, eta inongo emaitzek ez du orokortzen.

Argitu zein aldek bota zuen paketea profilak ukitu aurretik. Muturreko kapturek saiakera bakarrean erabakitzen dute: A uzten duten eta B inoiz iristen ez diren datagramek fluxua bidean berridatzi zela esan nahi dute, eta B-ra erantzunik gabe iristen direnek su-hesiak ez zituela erlazionatutzat onartu esan nahi dute.

IPv6 helbide publikoak dituzten bi bikotekidek arazo osoa saihesten dute. Itzulpenik gabe ez dago bat egiteko ezer, beraz bikotekideak izendatzen dituen su-hesi arau bat nahikoa da eta diseinuak routerraren jokabidearen mende egoteari uzten dio.

Noiz utzi saiatzeari

Helbide publikoa duen ostalari bat da erantzun fidagarria. Tunela bikotekide bietarako amaitu dezake, edo bestela bakoitzaren uneko kanpoko helbidea aurkitzen lagundu, eta bi antolamenduek funtzionatzen dute NATek edozer eginda ere. Kudeatutako gainjartze-geruza batek koordinazio bera eskaintzen du politikak baimentzen badu.

Horietako batek ere ez du su-hesi desgaiturik behar. Babesa itzaltzea konexio zuzena irabazteko saiakerari erakargarri egiten zion arrazoia baztertzea da, eta makina irekita uzten du probaren iraunaldian.

Probatu lehenik antolamendu zuzena, eta gero idatzi ikusi duzuna. NATen jokabidea eta hori erakutsi zuen kaptura erabili duzun portu-pareak baino gehiago balio dute, hurrengo sarea desberdina izango delako. OpenVPN 2.6 eskuliburuak azaltzen ditu lport eta horren mende dauden remote aukerak.