VPN ataken baldintzak: konparatu aurretik idazteko hiru lerro
Argitu zein ataka-galdera duzun benetan: irteerako helmuga, sarrerako argitalpena edo tunelaren garraio propioa. Gero galdetu hornitzaileari bakarrik hori.
VPN zerbitzuen ataken zerrendak konparazio-orrien artean kopiatzen dira axola duten ala ez erabakitzen duen xehetasunik gabe: nork hasten duen konexioa. Irteerako TCP 443 baimendzen duen arauak ez du ezer esaten beste host batek zure makinako entzule batera irits daitekeen ala ez. Idatzi hiru baldintza bereizi plan bakarra konparatu aurretik, eta markatu zure zereginak benetan zeintzuk behar dituen. Konparazio gehienak galdera labur bakarrera murrizten dira orri hori dagoenean.
Bereizi baldintza ataken zerrenda edozein irakurri aurretik
Hiru lerrok ia kasu guztiak hartzen dituzte: tunelaz haraindiko helmuga batera iristea, zerbait argitaratzea besteek barrura konektatu ahal izateko, eta tunela bera eramatea. Lerro bakoitzak arrazoi desberdinengatik egiten du huts, eta bat betetzen duen hornitzaile-politika batek beste biak ukitu gabe utz ditzake. Zeregina lerro egokian sailkatzeak bost minutu hartzen ditu eta geroago eztabaida bat saihesten du.
| Line | Who starts it | What can block it | Question for the provider |
|---|---|---|---|
| Outbound destination | Your application | Egress filter on the exit node | Is this protocol and port allowed to that destination? |
| Inbound publishing | A remote peer | No mapping, no public address, short lifetime | Which protocol, which external port, and how long does the mapping last? |
| Tunnel transport | Your client to the gateway | The access network drops that protocol | Does the client offer a fallback the local network permits? |
Marketin-adierazpenek hiru lerroak nahita lausotzen dituzte. P2P baimenak helmuga-politika bat deskribatzen du, helbide dedikatuak helbide bat deskribatzen du, eta ataken murrizketarik ez dagoelako baieztapenak normalean esan nahi du planak ez dituela zerrendatzen. Esaldi horietako batek ere ez die besteei erantzuten.
Aukeratu fluxu zehatz bat eta idatzi esaldi gisa: hasiera emailea, garraioa, ataka, helbide-familia, norabidea. Urrutiko host batera igotzen duen gaueko babeskopia bezeroa irteerakoa da soilik. Zure mahaian lagunek bat egiten duten joko-zerbitzaria sarrerakoa da. Biak tunel bakarrean ibiltzeak esan nahi du orriak bi lerroak behar dituela, ez haien arteko konpromiso bat.
Irteerako sarbideak helmuga-politikan egiten du huts, ez tunelean
Itzultzen duen pasabide baten bidezko irteerako trafikoak egoera sortzen du. Barne-helbide eta ataka batetik datorren lehen paketeak itzulpen-sarrera bat eraikitzen du, eta erantzunak harekin bat datoz, hau da, RFC 3022 dokumentuan deskribatutako mapatze-jokabidea. Mekanismo hori da nabigatzaileko fitxa batek ataka-eskaerarik gabe funtzionatzen duen arrazoia.
Bi gauzak oraindik hausten dute. Irteera-nodoak abusagarritzat jotzen dituen helmugak edo ataka-zenbakiak iragaz ditzake, eta aplikazioa irteera-politikak inoiz espero ez zuen ataka batean entzuten egon daiteke. Galdetu helmuga-bikoteaz, ez sarrerako arauez, eta espero erantzun desberdinak TCP eta UDPrentzat.
Neurtu eztabaidatu aurretik. Exekutatu hauek tunelearen atzean egongo den makinan, behin tunela itzalita eta behin piztuta:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://example.com
Komando berak, helmuga bera, tunelaren bi egoera, operadoreari jarduteko moduko aurretik eta gero arteko konparazioa ematen diote. Ordeztu dokumentazioko helbidea benetan behar duzun hostarekin; garrantzitsua da konparazioa errepikatzea, ez zenbaki bat ikusgarria iruditzea.
Sarrerako argitalpenak mapatze bat, helbide bat eta iraupen bat behar ditu
Kanpoko ezerk ezin du zure entzulera konexio bat hasi, alde publikoan zerbait non entregatu ez badaki. Operadoreak gordetzen duen ataka-erreserba estatikoa, bezeroak UPnP, NAT-PMP edo PCP bidez eskatutako mapatzea, eta bideratutako helbide publiko bat hiru produktu desberdin dira, hiru muga desberdinekin.
Egin bost galdera horietako edozeini buruz: zein protokolo, zein kanpoko ataka, kanpoko ataka lokalaren desberdina izan daitekeen, zein helbide-familia hartzen duen eta zenbat irauten duen mapatzeak berrikonektatzean. Saio aktibo bati lotutako erreserba desagertu egiten da saio hori amaitzean, planaren orriak esaten duena esanda ere.
Egiaztatu lehenengo alde lokala, entzule hila eta sarrerako bide blokeatua kanpotik berdin ikusten baitira:
ss -lntup | grep -E ':(8080|51820)\b'
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
Tokiko eskaerak 200 itzultzen duenean eta kontrolatzen ez duzun sare bateko eskaera bat oraindik denboraz kanpo geratzen denean, hutsunea alde publikoan dago. Orduan da operadoreari protokoloa eta kanpoko ataka esateko unea, aplikazioa izenez deskribatu beharrean.
Tunelaren garraio propioa galdera bereizi bat da
Eramailearen atakak arazoaren zatirik txikiena eta kontsultatzeko errazena dira. Lehenetsitako balioak protokoloaren arabera aldatzen dira, eta bezeroak negozia dezakeena edozein plan-deskribapenek baino gehiago axola du.
| Client | Outer transport | Default port | When it helps |
|---|---|---|---|
| OpenVPN | UDP | 1194 | Default mode; needs outbound UDP to pass |
| OpenVPN | TCP | 443 | UDP is dropped and TCP 443 is not |
| WireGuard | UDP | 51820 | Short handshake; there is no TCP mode |
| IKEv2/IPsec | UDP | 500 and 4500 | Mobile clients; 4500 carries NAT traversal |
Irteerako UDP baztertzen duen sare batek TCP 443 tunela onartuko du eta UDPkoa ukatuko, beraz erreserba-modu bat baldintza-orrian dagokio. Eramailea aldatzeak ez du aplikazioaren ataka tunelaren barruan mugitzen eta ez du helmuga-politika zabaltzen; horiek beren lerroetan geratzen dira.
Zatiketak proba bat merezi du han zauden bitartean, konektatu eta gero transferentzia handietan trabatzen den tunel batek okerreko MTU izaten baitu, ez ataka itxi bat:
ping -M do -s 1400 203.0.113.10 ping -M do -s 1372 203.0.113.10
Windowsen proba bera ping -f -l 1400 203.0.113.10 da. Ezarri tunelaren MTU pasatzen den tamainarik handienaren azpitik, eta gero probatu berriro huts egin zuen transferentzia.
Egiaztatu hiru lerroak plan bat ordaindu aurretik
Jarri hiru lerro orri bakarrean eta bete zelula bakoitza neurtutako emaitza batekin, promesa baten ordez. Komando hauek orri horren alde lokala sortzen dute minutu batean gutxi gorabehera:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
ping -M do -s 1400 203.0.113.10
Irakurri irteera kontrol-zerrenda gisa. Irteerakoak funtzionatzen du helmugak tunela piztuta erantzuten duenean. Sarrerakoak soilik funtzionatzen du zure sareaz kanpoko host batek kanpoko atakako entzulera iristen duenean. Eramaileak funtzionatzen du zure sarbide-sareak baimendutako protokolo batean hasierako agurra osatzen denean.
Bi ohiturek orria zintzo mantentzen dute. Idatzi data eta bezeroaren bertsioa emaitza bakoitzaren ondoan, hornitzaileen politikak eta bezeroaren lehenetsitako balioak biak mugitzen baitira. Gero eskatu fluxuaren zerbitzura dagoen mapatzerik estuenak, dena irekitzeko eskaera batek ukapen bat edo saltze gehigarri bat jasotzen baitu normalean, erantzun tekniko baten ordez.