Portin laukaisu vai portin edelleenohjaus kotona pyörivälle VPN-palvelimelle

Portin edelleenohjaus ja portin laukaisu ovat samassa valikossa useimmissa kotireitittimissä, ja siksi niitä kohdellaan kahtena tapana tehdä yksi työ. Edelleenohjaus on staattinen sääntö: WAN-porttiin tuleva yhteys käännetään kiinteäksi sisäiseksi osoitteeksi ja portiksi riippumatta siitä, tapahtuuko muuta. Laukaisu on ehdollinen: reititin seuraa lähtevää liikennettä ja avaa tulevan kuvauksen vasta, kun vastaava yhteys lähtee. VPN-palvelin odottaa, että joku muu yhdistää ensin, joten juuri se ehto on ainoa asia, jota se ei voi koskaan täyttää.

Kaksi sääntöä, joilla on eri elinkaari

IPv4 NAT on tilallinen. Kun sisäinen isäntä lähettää paketin ulos, reititin luo kuvauksen, jotta vastaukset löytävät takaisin; tuleva paketti, joka ei vastaa mitään kuvausta, hylätään, ja juuri tämä käytös pitää päivittämättömän työpöydän poissa internetistä. Edelleenohjaus on käsin lisätty pysyvä käännöksen merkintä. Laukaisu on liikennekuvion vartioima väliaikainen reikä.

Käytännön ero on aika. Edelleenohjaus on olemassa tallennushetkestä siihen, kunnes joku poistaa sen. Laukaistu kuvaus on olemassa laukaisimen toimittua ja sulkeutuu joutokäyntiajastimella, joka mitataan kuluttajalaitteistolla minuuteissa, tai heti uudelleenkäynnistyksessä.

Kumpikaan ei ole abstraktisti turvallisempi. Edelleenohjaus altistaa yhden portin jatkuvasti; laukaisin altistaa sen vasta tietyn lähtevän liikenteen jälkeen. Palvelulle, jonka on hyväksyttävä ensimmäinen paketti tuntemattomalta, vain toinen kahdesta sopii tehtävään.

Miksi laukaisu ei julkaise palvelinta

VPN-palvelin on rakenteeltaan passiivinen. Vastapuoli, oli se sitten kahvilan kannettava tai mobiilidatan puhelin, lähettää ensimmäisen paketin, eikä reitittimellä ole siihen kuvausta. Mikään sisällä ei aloittanut liikennettä laukaisuporttiin, joten sääntö ei koskaan laukea ja yhteys kuolee ennen kuin kättely alkaa.

Siellä, missä laukaisu näyttää toimivan, jokin muu tuottaa liikennettä laukaisuporttiin: LAN:in asiakas, valvonta-anturi tai palvelimen omat lähtevät tarkistukset. Silloin kuvaus avautuu yhdelle isännälle ja sulkeutuu, kun liikenne lakkaa, joten seuraava ulkoinen vastapuoli epäonnistuu taas, kun ensimmäinen onnistuminen istuu lokissa todisteelta näyttäen.

Laukaisu on yleensä myös yhden isännän. Moni toteutus sallii vain yhden sisäisen laitteen pitää kuvausta kerrallaan, mikä on täysin väärin palvelimelle, jonka pitäisi vastata usealle vastapuolelle. Ominaisuus rakennettiin sovelluksille, jotka avaavat lähtevän ohjausyhteyden ja odottavat tulevaa dataa toisessa portissa, ja se sopii yhä tuohon muotoon.

Mitä edelleenohjaus oikeastaan kuvaa

Edelleenohjaus on yksi käännöksen merkintä: WAN-portti ja protokolla sisäiseen osoitteeseen ja porttiin. Se tarvitsee kuuntelijan, joka jo toimii toisessa päässä, ja se tarvitsee, että sisäinen osoite pysyy paikallaan. Toiselle koneelle siirtyvä DHCP-vuokra lähettää jokaisen tunnelin väärälle isännälle, hiljaa, joten luo varaus ennen sääntöä.

Protokolla merkitsee enemmän kuin lomake antaa ymmärtää. OpenVPN UDP:n yli tarvitsee UDP-edelleenohjauksen, WireGuard tarvitsee UDP:n, ja IPsec-tieto saapuu ESP:nä, IP-protokolla 50, jolla ei ole lainkaan portteja. Edelleenohjauslomake, joka hyväksyy vain TCP:n tai UDP:n, ei voi ilmaista tätä, joten IPsec tarvitsee passthrough'n tai staattisen yksi-yhteen-kuvauksen porttisäännön sijaan.

Kerros reitittimesi yläpuolella

Edelleenohjaus hallitsee vain käännöstä, joka on sinun. Jos WAN-osoite ei ole sinun, mikä on tilanne operaattorin NAT:in takana, jossa tilaajat jakavat 100.64.0.0/10:n kuten RFC 6598 kuvaa, tuleva yhteys ei koskaan saavuta reititintäsi, koska operaattori käänsi ensin. Mikään laitteesi sääntö ei voi korjata tuota järjestystä.

Kaksinkertainen NAT on sama ongelma pienoiskoossa. Reitittimesi ohjaa ISP:n reitittimelle, jolla ei ole vastaavaa sääntöä ja joka hylkää paketin. Lisää sääntö ulompaan laitteeseen tai aseta ulompi laite siltatilaan ja anna omasi pitää julkinen osoite.

Siksi testin on tultava ulkopuolelta. Testi samasta LAN:ista julkisen osoitteen kautta riippuu hairpin NAT -tuesta ja voi onnistua tai epäonnistua syistä, jotka eivät liity sääntöön; puhelin mobiilidatalla tai ystävä toisessa verkossa on puhtaampi tarkistus.

Rajaa sääntö ja tarkista sitten molemmat puolet

Ohjaa yksi portti yhteen osoitteeseen. Alue, joka lisättiin siksi, että ensimmäiset yritykset epäonnistuivat, on se tapa, jolla hallintaliittymät päätyvät internetiin, eikä VPN-kuuntelija tarvitse reitittimen admin-sivua julkaistuna viereensä.

Säilytä kaikki, mikä jo suojasi tuota kuuntelijaa: varmenne- tai avainidentiteetti, isännän palomuuri, ajantasaiset pakettiversiot. Edelleenohjaus päästää paketin sisään; todennus ratkaisee, tuleeko paketista tunneli, ja ne ovat kaksi erillistä vikaa, kun jotain menee pieleen.

Tarkistuksessa on kaksi puolta. Kättelyn on valmistuttava ulkoisesta verkosta, ja sitten palvelimen takana olevan yksityisen resurssin on vastattava tunnelin kautta. Edelleenohjaus päästää tunneliyhteyden sisään eikä mitään muuta; reititys ja valtuutus 10.8.0.0/24:lle on toinen asetus toisella näytöllä.

Päätä kolmella kysymyksellä

Kolme kysymystä ratkaisee valinnan nopeammin kuin mikään vertailutaulukko:

• Yhdistääkö jokin ulkopuolelta ensimmäisenä pakettina? Käytä silloin edelleenohjausta tai relettä. Laukaisu ei voi avautua ilman lähtevää liikennettä, jota ei koskaan synny.
• Onko reiän kestettävä joutokäyntiaika? Käytä silloin edelleenohjausta, koska laukaistu kuvaus sulkeutuu oman aikataulunsa mukaan.
• Onko WAN-osoite sinun julkaistavaksi? Jos ei, korjaa ylempi kerros ennen kuin muokkaat mitään sääntöä.

Jos vastaus kaikkiin kolmeen on ei, mikä on tilanne kannettavalle, joka soittaa itse kaupalliselle operaattorille, kumpaakaan sääntöä ei tarvita. NAT:in takana oleva asiakas toimii, koska se luo tilallisen kuvauksen itse, ja se kattaa useimmat niistä, jotka lukevat portin edelleenohjaussivua keskiyöllä.