Mitkä VPN-portit avata palomuurissa: protokolla protokollalta
PPTP tarvitsee TCP 1723 ja GRE:n, L2TP/IPsec tarvitsee UDP 500 ja 4500 sekä ESP:n, ja SSTP, OpenVPN ja WireGuard tarvitsevat kukin yhden portin. Tässä on, mitä avata.
Kaksi erillistä sääntöä ratkaisee, läpäiseekö VPN-tunneli palomuurin: portti, johon asiakas soittaa, ja protokolla, joka kuljettaa hyötykuorman. Avaa vain ensimmäinen, niin tunneli tunnistautuu ja sen jälkeen ei liiku dataa. Vähimmäisvaatimus on yksi TCP-portti ja GRE PPTP:lle, kaksi UDP-porttia ja ESP L2TP/IPsec:lle ja IKEv2:lle sekä yksi portti SSTP:lle, OpenVPN:lle ja WireGuardille. Suunta, tilan seuranta ja NAT ratkaisevat loput.
Aloita portista, johon asiakas soittaa
Jokaisella perheellä on sisäänkäynti, johon asiakas ottaa yhteyttä ensin, ja juuri sen sisäänkäynnin sallintasääntösi on nimettävä. PPTP-asiakkaat yhdistävät TCP 1723:een. L2TP/IPsec aloittaa IKE:n UDP 500:ssa ja siirtyy UDP 4500:een, kun NAT:n läpäisy on käytössä, ja itse L2TP-kehys on UDP 1701:ssä tunnelin sisällä. SSTP käärii istunnon TLS:ään TCP 443:ssa, IKEv2 neuvottelee UDP 500:ssa ja 4500:ssa, OpenVPN käyttää oletuksena UDP 1194:ää mutta siirretään usein TCP 443:een, ja WireGuard kuuntelee UDP 51820:ssä.
| Family | Rule to add on the gateway | Typical mistake |
|---|---|---|
| WireGuard | UDP port from ListenPort, for the peer address | Assuming 51820 when the config says otherwise |
| OpenVPN | The configured UDP or TCP port, often 443 | Opening 1194 after the server moved |
| SSTP | TCP 443 limited to the gateway IP | Allowing 443 to any destination |
| IKEv2 | UDP 500 and UDP 4500, plus ESP | Allowing only 500 and losing NAT-T |
| L2TP/IPsec | UDP 500, 4500, ESP, and 1701 inside the tunnel | Exposing 1701 to the internet |
| PPTP | TCP 1723 and IP protocol 47 | Writing a rule for TCP 47 |
Käsittele näitä lukuja oletusarvoina, älä kiinteinä ominaisuuksina. WireGuard-käyttöliittymä käyttää sitä kuunteluporttia, jonka sen kokoonpano ilmoittaa, ja OpenVPN-palvelin voi istua millä tahansa portilla, jonka ylläpitäjä valitsi. Lue palvelimen kokoonpano ennen säännön kirjoittamista, sillä portille 1194 avattu palomuuri ei tee mitään palvelimelle, joka siirrettiin portille 443.
Kolmas sarake on paikka, jossa useimmat muutospyynnöt menevät pieleen. Sääntö on olemassa, mutta se osoittaa väärään kohteeseen, väärään suuntaan tai väärään kuljetukseen.
GRE ja ESP ovat protokollanumeroita, eivät portteja
GRE:llä ja ESP:llä ei ole portteja lainkaan, joten palomuurilomake, joka hyväksyy vain porttinumeroita, ei voi ilmaista niitä. GRE on IP-protokolla 47 ja ESP on IP-protokolla 50, ja molemmat sovitetaan IP-otsikon protokollakentän kautta. TCP-portiksi 47 kirjoitettu sääntö ei vastaa mitään, ja näin PPTP-käytäntö näyttää oikealta ja pudottaa silti jokaisen paketin kättelyn jälkeen.
Kuluttajareitittimet piilottavat tämän läpivientivalintaruudun taakse, joka asentaa protokollasäännön ja GRE:n osalta NAT-apurin, jota virtauksen kartoittaminen vaatii. Oikeassa palomuurissa lisäät protokollan itse: salli IP-protokolla 47 PPTP-palvelimelle, salli IP-protokolla 50 IPsec-yhdyskäytävälle. Jos alusta ei tarjoa protokollakenttää, kapselointi on ulospääsy, siksi IKEv2 voi pudota takaisin UDP 4500:een ja siksi OpenVPN ja WireGuard eivät koskaan kohtaa ongelmaa.
Tarkista, mihin sääntö todella osuu, ennen kuin syytät asiakasta. Yhdyskäytävässä nollaan jäävä pakettilaskuri kertoo, ettei sääntö koskaan lauennut, eikä mikään määrä asiakaspuolen uudelleenasennusta muuta sitä.
Suunta, tila ja NAT muuttavat vastauksen
Ulospäin soittava asiakas ja sisäänpäin kuunteleva yhdyskäytävä ovat eri vaatimuksia, ja sama porttiluettelo voi olla oikea toiseen suuntaan ja väärä toiseen. Tilallinen palomuuri seuraa UDP-virtausta porteilla 500 ja 4500 ja päästää vastaukset takaisin ilman toista sääntöä. ESP ja GRE eivät kuljeta portteja, joten NAT-laitteella ei ole mitään mihin tarttua ja se tarvitsee apurin tai kapseloinnin seuratakseen istuntoa.
NAT:n läpäisy on se osa, joka jää huomaamatta. IKEv2 alkaa UDP 500:sta, havaitsee NAT-laitteen ja jatkaa UDP 4500:een, joten vain 500:n salliva käytäntö antaa tunnelin, joka muodostuu ja vaikenee sitten. L2TP/IPsec tekee saman liikkeen. Jos tallenteesi näyttää ensimmäisen vaihdon mutta ei jatkuvaa liikennettä, etsi sääntöä, joka pysähtyy porttiin 500.
Kirjaa suunta jokaisen säännön yhteyteen. «Salli UDP 4500» ei tarkoita mitään ennen kuin sanot mistä mihin, ja vaeltavalle asiakkaalle oikea sääntö on yleensä väärä sivustolta sivustolle -kumppanille.
Tarkista jokainen reitti tallenteella
Aja tallenne yhdyskäytävässä, älä asiakkaassa: asiakas tallentaa vain sen, mikä saapui. Nämä suodattimet kattavat yllä olevat perheet ja näyttävät, mikä vaihe puuttuu:
sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50Lue tuloste jaksona. Kun neuvottelu näkyy mutta hyötykuorman protokolla ei, pudotus tapahtuu jossain asiakkaan ja yhdyskäytävän välissä. Kun molemmat näkyvät ja sivu epäonnistuu silti, palomuuri ei ole enää epäilty; katso reititystä, DNS:ää tai asiakkaalle annettua osoitepoolia.
Koneessa ilman tcpdumpia samat todisteet tulevat liitännän ja sääntöjen laskureista. Tavuja tulee sisään mutta ei ulos tunneliliitännässä — se viittaa paluureittiin eikä alkuperäiseen sallintasääntöön.
Jätä sääntökokonaisuus, jota voit puolustaa
TCP 443:n SSTP:tä ei voi erottaa tavallisesta HTTPS:stä millään porttiin perustuvalla suodattimella, ja se on tarkoitus, kun verkko sallii vain verkkoliikennettä. Siksi myös 443:n säännön pitäisi nimetä kohteeksi yhdyskäytävä eikä koko internetiä. Poista väliaikaiset mistä-tahansa-mihin-tahansa -säännöt heti, kun tunneli toimii. Kirjaa, mikä sääntö osui, protokollanumero jos sellainen on, ja suunta, jotta seuraava henkilö aloittaa todisteista.
Pilven piste-sivusto-yhdyskäytävät tekevät valinnan näkyväksi: ladattu profiili käyttää joko SSTP:tä portilla 443 tai IKEv2:ta porteilla 500 ja 4500, ja sinun pitäisi avata vain se, jonka profiili todella valitsee. PPTP ei ole GRE-poikkeuksen arvoinen nykyaikaisessa verkossa, koska matkapuhelinoperaattorit pudottavat protokollan 47 usein palomuuristasi riippumatta. Ennen kuin suljet tiketin, varmista, että sääntö vastaa palvelimen kokoonpanon porttia, että protokollakenttä on asetettu sinne missä perhe sitä tarvitsee, ja että kohteena on yhdyskäytävä eikä mikä tahansa osoite.