OpenVPN portu bat, hiru zerbitzu: zergatik axola dute barneko portuek

SSH saio batek, web aplikazio batek eta izen-kontsulta batek VPN konexio bakarra parteka dezakete portuengatik borrokatu gabe. Bezeroak fluxu zifratu bat eraikitzen du atebidera, eta aplikazioen elkarrizketa bakoitza haren barruan doa. Kanpotik, tunelaren beraren garraioa eta portua soilik dira ikusgai. Barruan, zerbitzu bakoitzak bere portua gordetzen du eta oraindik bere baimena behar du.

Zer darama kanpoko fluxuak, eta zer ezkutatzen duen

Bezeroak pakete bakoitza tunelaren garraioan sartzen du makinatik irten aurretik. Kanpoko fluxu horrek helmuga-portu bakarra du, VPNa konfiguratu zenean finkatua. Bilgailuaren barruan, jatorrizko pakete bakoitzak helburu duen zerbitzuaren helbidea eta portua gordetzen ditu. Atebideak bilgailua kentzen du eta barne-buruaren arabera bideratzen du, beraz helmugak sarean zehar iristen den bezero arrunt bat ikusten du.

Beraz, WAN interfazean egindako harrapaketa batek elkarrizketa bat erakusten du, ez hiru. Barneko portuak desenkapsulatu ondoren soilik agertzen dira. Horregatik suebaki-irekiera bakar batek SSH, HTTPS eta DNS aldi berean eraman ditzake.

# WAN side: one outer tuple, whatever the inner services are
tcpdump -ni wan0 'udp port 443'
# tunnel side: the inner tuples appear after decapsulation
tcpdump -ni tun0

TUN/TAP dokumentazioak bideratutako TUN gailu batek IP paketeak nukleoaren eta erabiltzaile-espazioko prozesu baten artean nola pasatzen dituen lantzen du. Transmisio horrek egiten du barne-burua atebidearen bideratze- eta suebaki-kodearentzat ikusgai. Gainera, azaltzen du zergatik kanpoko portuak ez duen ezer esaten zein zerbitzu dauden baimenduta.

NAT birbideratzea entzuleari dagokio, ez aplikazioei

IPv4 NAT baten atzeko norberaren atebide batek sarrerako itzulpen bakarra behar du: helbide eta portu publikoak VPN entzulera mapatuta. Ez da araurik behar SSH, HTTPS edo DNSrako soilik tunelaren erabiltzaileak haiengana iristen direlako. Portu horiek argitaratzeak tunelak dagoeneko babesten dituen zerbitzuak agerian utziko lituzke. Birbideratze-arauak entzulearen irisgarritasuna deskribatzen du, ez barruko ezeren baimena.

Alderantzizkoa ere egia da. Tunelaren portua irekitzeak ez du beste ezer agerian uzten, beraz tunelaren bidez soilik iristeko modukoa den zerbitzuak itxita mantentzen du bere gainazal publikoa. Bereizketa hori izaten da, normalean, zerbitzua pribatu mantentzeko arrazoia.

Barne-politika da sarbidea benetan erabakitzen den tokia

Zifratzeak bidea babesten du; ez du helmuga bat baimenduko. Bezeroaren ibilbideek aukeratzen dute zein aurrizki sartzen diren tunelera, atebidearen birbideratze-politikak erabakitzen du paketeek hura utz dezaketen, eta helmugaren suebakiak eta saio-hasierak erabakitzen dute zerbitzuak erantzuten duen. DNS da kasurik argiena: kontsultak eramateak ez du eragozten resolver batek zure bezero-pooltik haiek onartzea. Geruza bakoitzak ezetz esan dezake modu independentean.

Probatu zerbitzu bakoitza bereiz tunelaren bidez. Bilaketa arrakastatsu batek ez du ezer esaten web portuari buruz, eta web eskaera arrakastatsu batek ez du ezer esaten SSHri buruz.

dig @10.40.0.53 app.corp.example
nc -vz 10.40.0.10 8443
ssh -p 2222 [email protected]

Tunela martxan dagoenean eta dena huts egiten duenean, irakurri lehenik bezeroaren ibilbide-taula. Zerbitzu batek huts egiten duenean besteek funtzionatzen duten bitartean, akatsa helmuga horretan dago. Bi behaketa horiek arduradun desberdinak seinalatzen dituzte, eta nahasteak denbora galtzen du.

WireGuardek marra bera marrazten du

WireGuardek bere kanpoko entzulea ListenPort izenarekin deitzen du, eta barneko aplikazio batek behar duen zerbitzu-portua erabiltzen jarraitzen du. AllowedIPs bideratutako aurrizkien multzoa da, ez baimendutako zerbitzu-portuen zerrenda. Hori portu-baimenen zerrenda gisa irakurtzeak tunelak egiten duenarekin bat ez datozen arauak sortzen ditu. Izendapena desberdina da; geruzatzea ez.

Baimendu zerbitzua tokiko sarrera-politikan bertan endpoint-ean exekutatzen denean, edo birbideratze-politikan endpoint horren atzean dagoenean. Bereizketak erabakitzen du zein arau-multzo ikusten duen paketeak.

Forma orokorra kanpoko garraio bat da, barne-elkarrizketa ugarirekin. Kanpoko truke batzuk edo IP protokolo desberdin bat behar dituzten produktuek gogorarazten dute portu publiko bakarreko ereduak diseinu hau deskribatzen duela, eta ez VPN guztiak.