Ataka aktibatzea edo ataka birbidaltzea etxeko VPN zerbitzari baterako
Aktibazioak mapaketa bat irekitzen du irteerako trafikoaren ondoren; birbidaltzeak ataka behin betiko mapatzen du. Etxeko VPN zerbitzariak bigarrena behar du, benetako entzuleari mugatuta.
Ataka birbidaltzea eta ataka aktibatzea menu berean daude etxeko router gehienetan, eta horregatik lan bakarra egiteko bi modu bezala tratatzen dira. Birbidaltzea arau estatikoa da: WAN atakara datorren sarrerako konexioa barrungo helbide eta ataka finko batera itzultzen da, beste ezer gertatzen den ala ez. Aktibatzea baldintzapekoa da: routerrak irteerako trafikoa behatzen du eta sarrerako mapaketa bat irekitzen du soilik konexio egoki bat atera ondoren. VPN zerbitzari batek beste norbaitek lehenengo konektatzea itxaroten du, beraz baldintza hori da inoiz bete ezin duen gauza bakarra.
Bizitza-ziklo desberdineko bi arau
IPv4 NAT egoeraduna da. Barruko ostalari batek pakete bat kanpora bidaltzen duenean, routerrak mapaketa bat sortzen du erantzunek bidea atzera aurki dezaten; inolako mapaketari egokitzen ez zaion sarrerako paketea baztertu egiten da, eta portaera horrek mantentzen du eguneratu gabeko mahaigain bat internetetik kanpo. Birbidaltzea eskuz gehitutako itzulpen-sarrera iraunkorra da. Aktibatzea trafiko-eredu batek zaintzen duen behin-behineko zulo bat da.
Desberdintasun praktikoa denbora da. Birbidaltze bat gordetzen den unetik existitzen da norbaitek ezabatu arte. Aktibatutako mapaketa bat aktibatzailea piztu ondoren existitzen da eta idle tenporizadore batekin ixten da, kontsumo-hardwarean minutuetan neurtuta, edo berehala berrabiaraztean.
Bat ere ez da seguruagoa abstraktuan. Birbidaltzeak ataka bat etengabe uzten du agerian; aktibatzaileak trafiko irteera zehatz baten ondoren soilik uzten du agerian. Kanpotik datorren lehen paketea onartu behar duen zerbitzu batentzat, bietatik bat baino ez dator bat lanarekin.
Zergatik ez duen aktibazioak zerbitzari bat argitaratuko
VPN zerbitzari bat pasiboa da diseinuz. Parekoa, kafetegiko ordenagailu eramangarria edo datu mugikorreko telefonoa izan, lehen paketea bidaltzen du, eta routerrak ez du haren mapaketarik. Barruan ezerk ez zuen aktibazio-atakara trafikorik hasi, beraz araua ez da inoiz pizten eta konexioa esku-ematearen aurretik hiltzen da.
Aktibazioak funtzionatzen duela dirudien lekuetan, beste zerbait ari da trafikoa sortzen aktibazio-atakan: LANeko bezero bat, monitorizazio-proba bat edo zerbitzariaren beraren irteerako egiaztapenak. Orduan mapaketa ostalari bakar horrentzat irekitzen da eta trafikoa gelditzen denean ixten da, beraz hurrengo kanpoko parekoak huts egiten du berriro, lehen arrakasta erregistroan froga balitz bezala geratzen den bitartean.
Aktibazioa, gainera, normalean ostalari bakarrekoa izaten da. Inplementazio askok barruko gailu bakar bati uzten diote mapaketa aldi berean edukitzen, eta hori erabat okerra da hainbat parekori erantzun behar dien zerbitzari batentzat. Ezaugarria kanpora kontrol-konexio bat irekitzen duten eta bigarren ataka batean sarrerako datuak espero dituzten aplikazioetarako eraiki zen, eta oraindik forma horri egokitzen zaio.
Zer mapatzen duen birbidaltzeak benetan
Birbidaltze bat itzulpen-sarrera bat da: WAN ataka eta protokoloa barrungo helbide eta atakara. Beste muturrean jada martxan dagoen entzule bat behar du, eta barrungo helbidea bere lekuan geratzea behar du. Beste makina batera mugitzen den DHCP lizingu batek tunel bakoitza ostalari okerrean uzten du, isilpean, beraz sortu erreserba arauaren aurretik.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
Protokoloak formak iradokitzen duena baino gehiago axola du. OpenVPN UDP gainean UDP birbidaltze bat behar du, WireGuardek UDP behar du, eta IPsec datuak ESP gisa iristen dira, IP protokolo 50, horrek ez baitu ataka bakar bat ere. TCP edo UDP soilik onartzen duen birbidaltze-formulario batek ezin du hori adierazi, beraz IPsec-ek passthrough edo bat-bateko mapaketa estatiko bat behar du ataka-arau baten ordez.
Zure routerraren gaineko geruza
Birbidaltzeak zurea den itzulpena soilik kontrolatzen du. WAN helbidea zurea ez bada, operadorearen NAT atzean gertatzen dena, non harpidedunek 100.64.0.0/10 partekatzen duten RFC 6598 dokumentuan deskribatzen den bezala, sarrerako konexioak ez du inoiz zure routerrera iristen hornitzaileak lehenengo itzuli duelako. Zure gailuko inolako arauk ezin du ordena hori konpondu.
NAT bikoitza problema bera da miniaturetan. Zure routerrak ISPren routerrera birbidaltzen du, eta hark ez du bat datorren araurik eta paketea baztertzen du. Edo gehitu araua kanpoko gailuan, edo jarri kanpoko gailua zubi moduan eta utzi zureari helbide publikoa edukitzen.
Horregatik probak kanpotik etorri behar du. LAN beretik helbide publikoaren bidez egindako proba hairpin NAT laguntzaren mende dago eta arauarekin zerikusirik ez duten arrazoiengatik pasa edo huts egin dezake; datu mugikorreko telefono bat, edo beste sare bateko lagun bat, egiaztapen garbiena da.
Mugatu araua, eta gero egiaztatu bi erdiak
Birbidali ataka bat helbide batera. Lehen saiakerak huts egin zutelako gehitutako tarte bat da kudeaketa-interfazeak interneten amaitzeko modua, eta VPN entzuleak ez du routerraren admin orria alboan argitaratuta behar.
Mantendu entzule hori lehenago babesten zuen guztia: ziurtagiri edo gako identitatea, ostalariaren suebakia, paketeen bertsio eguneratuak. Birbidaltzeak pakete bat uzten du sartzen; autentifikazioak erabakitzen du paketea tunel bihurtuko den, eta bi hutsegite bereizi dira horiek zerbait gaizki doanean.
Egiaztapenak bi erdi ditu. Esku-emateak kanpoko sare batetik osatu behar du, eta gero zerbitzariaren atzeko baliabide pribatu batek tuneletik erantzun behar du. Birbidaltzeak tunelaren konexioa uzten du sartzen eta ez gehiago; 10.8.0.0/24rako bideratzea eta baimena beste pantaila bateko beste ezarpen bat dira.
Erabaki hiru galderekin
Hiru galderak edozein konparazio-taula baino azkarrago erabakitzen dute aukera:
- Kanpotik zerbait konektatzen al da lehen pakete gisa? Orduan erabili birbidaltzea, edo errele bat. Aktibazioak ezin du ireki inoiz izango ez den irteerako trafikorik gabe.
- Zuloak idle denbora baino gehiago iraun behar al du? Orduan erabili birbidaltzea, aktibatutako mapaketa bere egutegiaren arabera ixten baita.
- WAN helbidea zurea al da argitaratzeko? Ez bada, konpondu goiko geruza edozein arau editatu aurretik.
Hirurei erantzuna ez bada, hornitzaile komertzial batera deitzen duen ordenagailu eramangarri baten kasua, ez da bi arauetako bat ere behar. NAT atzean dagoen bezeroak funtzionatzen du egoera-mapaketa bera sortzen duelako, eta horrek gauerdian ataka birbidaltzeari buruzko orri bat irakurtzen duten gehienak estaltzen ditu.