NAT simetrikoa eta VPNak: neurtu mapaketa, ez etiketa
Muturren araberako mapaketak pareen aurkikuntzan eragiten du, ez ohiko bezero-zerbitzari tunel batean. Neurtu ataka eta, bide zuzenak huts eginez gero, erabili errele bat.
Laguntza-hari bat «NAT simetrikoa, VPNak ez du hemen funtzionatuko» epaiarekin amaitzen da, eta gero bezeroa hiru aldiz berrinstalatzen da alferrik. Etiketak kalte egiten du inork egin ez zuen galdera bati erantzuten diolako. Kanpora zerbitzari finko batera konektatzen den bezeroak mapaketa bat sortzen du lehen paketea bidaltzen duen unean, eta erantzunari itzultzen uzten zaio ia sare guztiek ezartzen dituzten arauen arabera. Muturren araberako mapaketak benetan zailtzen duena bi pare aldi berean elkarrengana iristen saiatzea da, eta hori beste proba bat da.
Bi galdera ezkutatzen dira etiketa baten atzean
Lehen galdera da sare honen atzeko ostalari batek saio bat ireki dezakeen helbide publiko eta ataka ezagun baterantz. Tunel bezeroarentzat hori ohiko kasua da, eta erantzuna ia beti da bai. Bideratzaileak barne-jatorria erregistratzen du, kanpoko ataka bat esleitzen du eta erantzuna pasatzen uzten du barrutik hasitako saio bati baitagokio.
Bigarren galdera da sare desberdinen atzeko bi ostalarik bide partekatu bat aurki dezaketen eta elkarri bidali diezaioketen erdian zerbitzaririk gabe. Hori sare bakoitzak kanpoko ataka horiek nola esleitzen dituen araberakoa da, eta mapaketaren portaerak garrantzia duen leku bakarra da.
Biak nahasteak ohiko diagnosi okerra sortzen du: pareen arteko funtzio bat huts egiten du, norbaitek NAT motako proba bat exekutatzen du, kategoria okerrena ikusten du eta ohiko tunelak ere ezin duela funtzionatu ondorioztatzen du. Tunela ez zen inoiz huts egin zuen gauza.
Mapaketa eta iragazketa propietate bereiziak dira
RFCren terminologia hornitzaileek erabiltzen dituzten izenak baino zehatzagoa da, eta tiketara eramatea merezi du eztabaidak konpontzen dituelako. Mapaketa kanpoko ataka nola esleitzen den da. Iragazketa zein sarrerako paketek pasa dezaketen da. Sare bat zorrotza izan daiteke batean eta liberala bestean, eta konbinazio hori da pareen arteko protokolo batek gainditu behar duena.
| Behaviour | What it means | Effect on a direct peer path |
|---|---|---|
| Endpoint-independent mapping | One external port for every destination | Discovery works if the port is advertised |
| Address-dependent mapping | New port per remote address | Works only if both sides probe the same pair |
| Address-and-port-dependent | New port per remote address and port | Usually needs a relay |
Hirugarren errenkada da kontsumo-bideratzaile eta operadore mugikor gehienek simetriko hitzarekin ulertzen dutena. Kontuan izan etiketak esleipena baino ez duela deskribatzen. Mapaketa hori eta iragazketa liberala dituen sare batek oraindik onar ditzake oraintxe esleitu duen atakara sarrerako paketeak, eta horregatik zulo-zulatzea batzuetan arrakastatsua da eta besteetan huts egiten du.
Iragazketak bere hiru kasuak ditu eta bakoitzarentzat bere izena. Tiket batean «NAT simetrikoa» idaztea «helbide eta atakaren araberako iragazketa» esan nahi duzunean hurrengo pertsona eskuliburuaren kapitulu okerrean jartzen du. Biak desberdin jokatzen dute proban, beraz akatsa ez da akademikoa.
Neurtu mapaketa, hari izena eman beharrean
Esleitutako ataka zuzenean behatu dezakezu kontrolatzen duzun edozein UDP zerbitzuren zerbitzari aldetik. Hasi harrapaketa ostalari publikoan, bidali bezerotik eta irakurri paketea iritsi zen jatorrizko ataka:
sudo tcpdump -ni eth0 -c 10 'udp port 51820'
sudo wg show wg0 endpoints
sudo conntrack -L -p udp --dport 51820Muturreko lerroa da hiruretatik erabilgarriena, WireGuardek pare bakoitzetik jasotako azken helbidea eta ataka erregistratzen baititu. Alderatu ataka hori bezeroak erabiltzen duela uste duenarekin. Desberdinak izango dira itzulpenik gertatzen den bakoitzean, eta galdera garrantzitsua da balioa egonkor mantentzen den.
Errepikatu behaketa bigarren helmuga-ataka edo bigarren zerbitzari baten aurka eta alderatu berriro. Kanpoko ataka helmugaren arabera aldatzen bada, mapaketa helbidearen eta atakaren araberakoa da. Berdina mantentzen bada, sareak mapaketa bakarra ematen dizu eta aurkikuntzak aukera du.
STUNen oinarritutako tresnek sailkapen bera jakinarazten dute urrats bakarrean, eta erabiltzeko modukoak dira sareak STUN zerbitzari publiko baterako irteerako UDPa baimentzen duenean. Baimentzen ez duenean, goiko harrapaketa-metodoak oraindik funtzionatzen du eta jada kontrolatzen duzun ostalari bat baino ez du behar.
Aukeratu hutsari dagokion konponbidea
Huts egiten duen funtzioa pareena bada, onartutako erantzunak errele bat, bi pareek irits daitezkeen topagune-zerbitzu bat edo topologia desberdin bat dira. TURN horretarako berariaz dago, eta bere errelea dakarren produktu batek sare batzuk etsaiak izatea espero duela esaten dizu.
Huts egiten duen funtzioa ohiko tunel bat bada, mapaketaren portaera ez da zure arazoa eta goiko ezerk ez du balio. Egiaztatu bezeroak benetan bidaltzen duela, zerbitzariak paketea ikusten duela eta erantzuna itzultzen dela. Segida hori hiru behaketa dira eta ez du ezer jakitea eskatzen bideratzailearen NAT kategoriari buruz.
Funtzionatzen ez duena ataka lokalaren aldaketak barreiatzea da, zerbait konektatu arte. Bezeroaren jatorrizko ataka aldatzeak ez du aldatzen sareak mapaketak nola esleitzen dituen. Bosgarren saiakeran ustekabeko arrakasta faltsu positiboa da, eta hilabeteetan zehar konponbide gisa aipatuko da.
Erregistratu arkitektura, ez epaia
Ohar erabilgarri batek esaten du zein protokolo, zein norabidetan hasten den saioa, ea errelerik dagoen bidean eta zer behatu den kablean. «NAT simetrikoa, ez du funtzionatzen» erabilezina da, aldi berean okerra delako tunelari buruz eta informaziorik gabea parearen bideari buruz.
Sartu neurtutako atakaren egonkortasuna eta iragazketaren portaera probatu badituzu. Bi datu horiek beste norbaitek sare horretan funtzio berri bat funtzionatuko duen aurreikustea ahalbidetzen dute, ikerketa osoa errepikatu gabe. Gainera hobeto zahartzen dira laguntza-orrialde bakoitzean zertxobait desberdin esan nahi duen hornitzaile-kategoria bat baino.
Azkenik, eduki eskura RFC 4787ren terminologia hori idazten duzunean. Termino zehatzak erabiltzeak esaldi bat kostatzen du eta hurrengo irakurleari diagnosi oker bera errepikatzea eragozten dio, eta horixe da oharra idaztearen xede osoa.