Aon phort OpenVPN, trí sheirbhís: cén fáth a bhfuil tábhacht le poirt inmheánacha

Is féidir le seisiún SSH amháin, aip ghréasáin amháin agus cuardach ainm amháin nasc VPN amháin a roinnt gan a bheith ag troid faoi phoirt. Tógann an cliant sruth amháin criptithe chuig an ngeata, agus téann gach comhrá feidhmchláir taobh istigh de. Lasmuigh, ní fheictear ach iompar agus port an tolláin féin. Istigh, coimeádann gach seirbhís a port féin agus tá a cead féin ag teastáil uaithi fós.

Cad a iompraíonn an sruth seachtrach, agus cad a cheileann sé

Filltear an cliant gach paicéad in iompar an tolláin sula bhfágann sé an meaisín. Tá port cinn scríbe amháin ag an sruth seachtrach sin, socraithe nuair a cumraíodh an VPN. Taobh istigh den fhilleadh, coimeádann gach paicéad bunaidh seoladh agus port na seirbhíse a bhfuil sé dírithe uirthi. Baintear an fillteán agus déantar an geata a ródú de réir an cheanntáisc inmheánaigh, ionas go bhfeiceann an ceann scríbe gnáthchliant ag teacht ón líonra.

Léiríonn gabháil ar chomhéadan WAN comhrá amháin, mar sin, ní trí cinn. Ní fheictear na poirt inmheánacha go dtí tar éis an díchapsúcháin. Sin é an fáth gur féidir le hosclaíocht amháin sa bhalla dóite SSH, HTTPS agus DNS a iompar ag an am céanna.

# WAN side: one outer tuple, whatever the inner services are
tcpdump -ni wan0 'udp port 443'
# tunnel side: the inner tuples appear after decapsulation
tcpdump -ni tun0

Clúdaíonn doiciméadú TUN/TAP an t-aistriú ina bhfaireann gléas TUN ródaithe paicéid IP idir an t-eithne agus próiseas i spás úsáideora. Is é an t-aistriú sin a dhéanann an ceanntásc inmheánach infheicthe do chód ródaithe agus balla dóite an gheata. Míníonn sé freisin cén fáth nach ndeir an port seachtrach aon rud faoi cé na seirbhísí atá ceadaithe.

Baineann an t-aistriú NAT leis an éisteoir, ní leis na haipeanna

Teastaíonn aistriú amháin isteach ó gheata féin-óstáilte taobh thiar de NAT IPv4: an seoladh agus an port poiblí a mhapáiltear chuig éisteoir an VPN. Níl aon riail ag teastáil do SSH, HTTPS ná DNS díreach toisc go sroicheann úsáideoirí an tolláin iad. Rud a fhoilsiú na bport sin a nochtfadh seirbhísí atá á gcosaint ag an tollán cheana féin. Cuireann an riail aistrithe síos ar inrochtaineacht an éisteora, ní ar chead d'aon rud istigh.

Tá a mhalairt fíor freisin. Ní nochtann oscailt phort an tolláin aon rud eile, mar sin fanann seirbhís nach bhfuil inrochtana ach tríd an tollán le dromchla poiblí dúnta. Is é an scaradh sin de ghnáth an chúis le seirbhís a choimeád príobháideach ar an gcéad dul síos.

Is sa pholasaí inmheánach a shocraítear rochtain i ndáiríre

Cosnaíonn criptiú an cosán; ní údaraítear ceann scríbe leis. Roghnaíonn róid an chliaint cé na réimíreanna a théann isteach sa tollán, socraíonn polasaí aistrithe an gheata an féidir le paicéid é a fhágáil, agus socraíonn balla dóite agus logáil isteach an chinn scríbe an bhfreagraíonn an tseirbhís. Is é DNS an cás is soiléire: ní dhéanann iompar fiosrúchán le réiteoir iad a ghlacadh ó do chomhthiomsú cliant. Is féidir le gach ciseal neamh a rá go neamhspleách.

Tástáil gach seirbhís léi féin tríd an tollán. Ní deir cuardach rathúil aon rud faoin bport gréasáin, agus ní deir iarratas gréasáin rathúil aon rud faoi SSH.

dig @10.40.0.53 app.corp.example
nc -vz 10.40.0.10 8443
ssh -p 2222 [email protected]

Nuair a bhíonn an tollán suas agus gach rud ag teip, léigh tábla ródaithe an chliaint ar dtús. Nuair a theipeann ar sheirbhís amháin agus na cinn eile ag obair, tá an locht ag an gceann scríbe sin. Cuireann an dá bhreathnóireacht sin in iúl úinéirí éagsúla, agus cuireann meascadh eatarthu am amú.

Tarann WireGuard an líne chéanna

Ainmníonn WireGuard a éisteoir seachtrach le ListenPort, agus úsáideann aip inmheánach cibé port seirbhíse a theastaíonn uaithi. AllowedIPs is tacar réimíreanna ródaithe é, ní liosta de phoirt seirbhíse ceadaithe. Má léitear é mar liosta ceadaithe poirt, cruthaítear rialacha nach dtagann leo siúd a dhéanann an tollán. Tá an ainmniú difriúil; níl an cisealú.

Ceadaigh an tseirbhís sa pholasaí ionchuir áitiúil nuair a ritheann sí ar an bpointe deiridh féin, nó sa pholasaí aistrithe nuair a bhíonn sí taobh thiar den phointe deiridh sin. Socraíonn an t-idirdhealú cé na rialacha a fheiceann an paicéad.

Is é an gnáthchruth ná iompar seachtrach amháin le go leor comhrá inmheánach. Meabhraíonn táirgí a dteastaíonn roinnt malartuithe seachtracha uathu, nó prótacal IP difriúil, dúinn gurb é patrún an aon phoirt phoiblí a chuireann síos ar an dearadh seo agus ní ar gach VPN.