Konfiguratu ezin duzun NAT baten atzeko VPN-a: zer dabil oraindik

Tunel-mutur bakoitzak beste aldeak irits dezakeen helbide eta portu bat behar ditu, eta zuk administratzen ez duzun router bat da baldintza horrek huts egiteko ohiko arrazoia. Interesgarria ez da trikimailuak badaudela, baizik eta bakoitza bezeroaren aldetik ikusten ez duzun mapatze-taularen propietate baten mende dagoela. Propietate horietako bik ia dena erabakitzen dute: mapatzea nola sortzen den eta barrualdeak inoiz kontaktatu ez duen helbide batetik paketeak onartzen dituen. Ingurunea propietate horien arabera sailkatzen baduzu, saihesbideek folklorea izateari uzten diote.

Mapatze-taulak dena erabakitzen du

Sare-helbideen itzulpenak taula bat mantentzen du, non barne-helbide eta portu bat helbide eta portu publiko baten aurka erregistratzen diren. Erregistro batekin bat datozen erantzunak atzera itzultzen dira, eta kanpotik iristen den pakete batek, bat datorren erregistrorik gabe, ez du inolako helmugarik. Portaera bakar horrek azaltzen du zergatik den routerraren atzeko entzule bat internetetik iristezina. Sarrerako noranzko bakoitzeko lehen paketeak barrutik sortu behar duela ere azaltzen du.

Begiratu taula routerraren aldetik eta saihesbideak begi-bistakoak bihurtzen dira: edo zerbait erregistro iraunkor bat sortzen du, edo behin-behineko bat sortu eta fresko mantentzen du, edo trafikoak ez du inoiz bide hori hartzen. Artikuluaren gainerakoa hiru kasu horiek dira, hurrenez hurren. Hemen ez dago ezer hornitzailearen funtzio baten mende, taulak erregistratzen duenaz harago.

Topagune-zerbitzuak zer egin dezakeen eta zer ezin duen

UDP zulo-zulatzeak irteerako erregistroa behin-behineko irekiera gisa erabiltzen du, iragazkia garaitzea baino. Bi pareek topagune-zerbitzu bat kontaktatzen dute, eta horrek mutur publiko bakoitza ikasten du eta beste alderdiari bere muturra itzultzen dio. Gero biek elkarren aurka bidaltzen dute, eta irteerako pakete bakoitzak erantzuna barrura uzten duen erregistroa sortu edo freskatzen du. Ordenak egiten du funtzionatzea, eta ordenak ere egiten du hauskorra: beste aldeak bere erregistroa sortu aurretik bidaltzen duen pare bat erraz baztertzen da, eta une bat geroagoko saiakera batek arrakasta du. Zerbitzuak berak ez du VPN trafikorik garraiatzen, beraz, bere palanka bakarra koordinatzen duen denbora da.

Mapatze-portaerak gainerakoa erabakitzen du, eta RFC 4787 arauak hiru forma izendatzen ditu: muturretik independentea, helbidearen mendean eta helbidearen eta portuaren mendean. Azken horretan, pare batek jo behar duen portua helmuga bakoitzarekin aldatzen da, beraz, iragarpena ez da fidagarria izateko. Han iristen da teknika kale itsu batera, operadore mailako NAT-ak eta korporazio firewall zorrotz batek eskema behar duen aurreikusgarritasuna kentzen dutelako, eta berriro saiatzeak ez du hura berreskuratzen.

Keepalive-ak, berrabiarazteak eta mugitzen den muturra

Zulaturiko bidea fluxua da, ez entzulea, beraz, haren gainetik dabilenak aldaketari eutsi behar dio. Mapatzea bizirik mantendu behar du trafiko periodikoarekin, mutur publikoa noiz mugitzen den ohartu, eta routerra berrabiarazi edo helbidea berriz esleitu ondoren berrezarri. Mesh VPN produktuek logika hori beren kontrol-planoan jartzen dute, eta zerbitzari arrunt batek zure esku uzten du. Keepalive-ek mapatze berak irauten duen bitartean bakarrik laguntzen dute, eta bateria kontsumitzen dute bezero mugikor batean, horregatik tarte oldarkorra ez da doakoa.

Ordubete lo egiten duen eramangarri bat mutur publiko ezberdin batean itzultzen da normalean. Bidea berrezartzen duenak barrutik berriro exekutatu behar du, eta horrek baldintza bera jartzen dio bezeroari.

Falta den birbidalketa bat saihesteko hiru modu

Lehenengo moduak routerrari eskatzen dio erregistroa berak sortzeko, UPnP IGD, NAT-PMP edo PCP bidez, funtzioa badago eta piztuta badago. Bigarrenak trafikoa helbide publikoa duen errele bati ematen dio, eta horrek beti funtzionatzen du eta beti balio du banda-zabalera gehi konfiantza-muga ezberdin bat. Hirugarrenak noranzkoa alderantzikatzen du: barne-ostalariak irteerako tunel bat irekitzen du zerbitzari publiko baterantz eta gainerako guztia haren barruan doa.

[Peer]
PublicKey = 6yGj3kQ2wVb8sTn1pLx4dRc7hZa9mKf2uYe5oNq0iXw=
Endpoint = relay.corp.internal:51820
PersistentKeepalive = 25
AllowedIPs = 10.44.0.0/24

Errele mutur batek truke hori ikusgai egiten du bezeroaren konfigurazioan, non muturra errelea den eta ez pare baten bere helbidea. Keepalive iraunkorrak mapatzea bero mantentzen du, eta baimendutako aurrizkiek erabakitzen dute zer bidal dezakeen bezeroak haren bidez. Barne-ostalaritik abiatutako alderantzizko tunel bat ideia bera da jabe ezberdin batekin, eta ez du NAT aldaketarik behar. Hirurek sarrerako baldintza kentzen dute, diseinuz eskatu gabeko trafikoa blokeatzen duen firewall bat garaitzen ez dutelarik, trafikoa oraindik barrutik hasten delako.

Egokitu saihesbidea routerraren jabea nor den

Routerra administratzen baduzu, UDP birbidalketa estatiko bat errazago auditatzeko da zulatze-eskema edozein baino, eta ikusten duzun moduan huts egiten du. Ez baduzu, jakin ezazu hornitzaileak errele bat edo kontrol-plano ostalari bat eskaintzen duen, eta politikak hori erabiltzea onartuko lukeen. Bat ere ez badago, geratzen diren aukerak alderantzizko tunel bat edo muturra kanpotik iristezina dela onartzea dira. Erabili zenuena erregistratzeak uste baino gehiago esan nahi du, aukerak ezberdinak baitira nor den trafikoa behatzeko gai eta zer gertatzen den hirugarren batek zerbait aldatzen duenean.

Ohartu amaitu zenuen bidea zuzena edo errele bidezkoa zen, gertaera bakar horrek latentzia eta hutsegite-portaera biak iragartzen baititu. RFC 4787 da horren guztiaren azpiko mapatze-portaeraren erreferentzia, eta haren mapatze-atala irakurtzea hiru saihesbide segidan probatzea baino azkarragoa da. Tabulari ez zaio axola zein aukera hautatu zenuen; hurrengo paketeak zer egin dezakeen soilik erregistratzen du.