Fêste UDP-poarten kinne portforwarding oerslaan, mar net elke NAT
In stateful firewal lit it pakket fan 'e partner as weromferkear troch as beide einen ien poarte fêstsette. Hjir is wannear't dat wurket, en wat it stilwei beëiniget.
Twa thúsrouters, gjin trochstjoerde poarten, en in VPN dy't soms dochs ferbynt. UDP lit dat ta, om't in firewal in pakket talitte sil dat er keppelje kin oan in stream dy't de masine al begûn is. It is in betingstige trúk, gjin funksje, en de betingsten binne maklik te neamen as jo witte wat de firewal ferget. Se binne ek de reden dat identike profilen har op ferskate netwurken oars gedrage.
De ferliking dy't in firewal makket
Elk útgeand datagram makket in koartlibbige ynfier: boarneadres, boarneport, bestimmingsadres, bestimmingsport. Alles wat oankomt en by de ynfier past, wurdt as antwurd behannele en trochlitten. Regels foar ynkommend ferkear spylje dêrby gjin rol.
Dus de fraach is net oft de firewal de partner binnenlit. It is oft it pakket fan de partner liket op it antwurd dêr't de ynfier op wachtet. Feroarje ien fjild fan dat fjouwerdielige tuple en it pakket wurdt in frjemdling. Dêrom kin in wurkjende opset brekke as allinnich it poartnûmer feroaret, en dêrom kin deselde poarte op ien router wurkje en op de folgjende mislearje.
Fêstigje de lokale boarneport, en itselde nûmer ferskynt oan beide kanten fan de útwikseling. Dat is it hiele meganisme, en it ferklearret wêrom't de trúk broazen is ynstee fan mysterieus.
Ien poarte oan elk ein fêstsette
De standert UDP-poarte fan OpenVPN is 1194, en lport set de boarneport dêr't it fan ferstjoert. Fêstigje beide parten en it útgeande tuple fan elk wiist nei in poarte dêr't de oare op harket:
# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194
Dat wurket allinnich salang gjin router tusken harren de boarneport werskriuwt. As pakketten yn in opname ferskine mar der komt gjin tunnel omheech, is de werskriuwing de earste fertochte.
Wêr't it tuple ophâldt te passen
In NAT dy't per bestimming mapt, jout elk part in oare eksterne poarte. It adres dat jo partner sein waard te brûken is net it adres dat him berikt, dus it ynkommende pakket past nearne by en wurdt stilwei fuortsmiten.
Fertaaljen op operatornivo, steapelte NAT en poartefarskowing einigje allegear itselde. Sa ek elke middenbox dy't poarten werskriuwt en adressen gewurde lit.
Streamtransports binne minder ôf. In TCP-hânskodding wurdt stap foar stap folge, dus in VPN op basis fan TCP kin hielendal net sa trochstutsen wurde en hat earne op it paad in harker nedich.
Ien kant mislearret meastentiids earst
Yn 'e praktyk gedrage de beide netwurken har selden itselde. Ien router kin in foarsisbere mapping jaan wylst de oare poarten per bestimming jout, en it resultaat is in konfiguraasje dy't tusken twa hûzen wurket en fan in mobyl netwurk ôf mislearret. Rapporten dy't inoar tsjinsprekke beskriuwe meastentiids twa ferskillende pearen routers. Gjin fan beide skriuwers hat ûngelyk, en gjin fan beide resultaten is te generalisearjen.
Sykje út hokker kant it pakket fallen litten hat foardat jo de profilen oanreitsje. Opnames oan beide einen besljochtsje it yn ien besykjen: datagrammen dy't A ferlitte en B nea berikke, betsjutte dat de stream ûnderweis werskreaun is, wylst datagrammen dy't by B oankomme sûnder dat der antwurd weromkomt, betsjutte dat de firewal se net as besibbe akseptearre hat.
Twa parten mei iepenbiere IPv6-adressen geane it hiele probleem foarby. Sûnder fertaling is der neat te koppeljen, dus in firewalregel dy't de parten neamt is genôch en it ûntwerp hâldt op fan routergedrach ôfhinklik te wêzen.
Wannear't jo ophâlde moatte
In host mei in iepenbier adres is it betroubere antwurd. It kin de tunnel foar beide parten beëinigje, of gewoan helpe om each oars aktuele eksterne adres te ûntdekken, en beide regelingen wurkje wat de NAT's ek dogge. In beheard overlay biedt deselde koördinaasje as belied it tasteat.
Net ien fan dizze hat in útskeakele firewal nedich. Beskerming útsette om de direkte ferbining te winnen smyt de reden fuort wêrom't it direkte besykjen oantreklik wie, en it lit de masine iepen foar de doer fan 'e test.
Probearje earst de direkte regeling, en skriuw dan op wat jo seagen. It NAT-gedrach en de opname dy't it sjen liet binne mear wurdich as it poartepaar dat jo úteinlik brûkt hawwe, om't it folgjende netwurk oars wêze sil. OpenVPN 2.6-hantlieding dokumintearret lport en de remote-opsjes dêr't dit fan ôfhinget.