Spreagadh port versus seoladh ar aghaidh port do fhreastalaí VPN baile
Osclaíonn spreagadh mapáil tar éis tráchta amach; mapálann seoladh ar aghaidh an port go buan. Teastaíonn an dara ceann ó fhreastalaí VPN baile, scóipithe don éisteoir iarbhír.
Tá seoladh ar aghaidh port agus spreagadh port sa roghchlár céanna ar fhormhór na rótairí baile, agus is ar an ábhar sin a gcaitear leo mar dhá bhealach chun aon obair amháin a dhéanamh. Is riail statach é seoladh ar aghaidh: aistrítear nasc isteach chuig port WAN go seoladh agus port inmheánach seasta, cibé an bhfuil aon rud eile ag tarlú nó nach bhfuil. Tá spreagadh coinníollach: breathnaíonn an rótar ar thrácht amach agus ní osclaíonn sé mapáil isteach go dtí go n-imíonn nasc comhoiriúnach. Fanann freastalaí VPN go nascfaidh duine éigin eile ar dtús, mar sin is é an coinníoll sin an t-aon rud nach féidir leis a chomhlíonadh riamh.
Dhá riail le saolréanna difriúla
Tá NAT IPv4 stáititheach. Nuair a sheolann óstach inmheánach paicéad amach, cruthaíonn an rótar mapáil ionas go bhfaighidh freagraí a mbealach ar ais; scartar le paicéad isteach nach bhfuil ag teacht le haon mhapáil, agus is é an t-iompar sin a choimeádann deasc neamh-nuashonraithe amach ón idirlíon. Is iontráil aistriúcháin bhuan í seoladh ar aghaidh a chuirtear leis de láimh. Is poll sealadach é spreagadh a bhfuil patrún tráchta á chosaint.
Is é an t-am an difríocht phraiticiúil. Bíonn seoladh ar aghaidh ann ón nóiméad a shábháiltear é go dtí go scriosann duine é. Bíonn mapáil spreagtha ann tar éis don spreagadh dul i ngníomh agus dúnann sé ar amadóir díomhaoine, a thomhaistear i nóiméid ar chrua-earraí tomhaltóra, nó láithreach ar atosú.
Níl ceachtar acu níos sábháilte go teibí. Nochtann seoladh ar aghaidh port amháin go leanúnach; ní nochtann spreagadh é ach tar éis tráchta amach ar leith. I gcás seirbhíse a chaithfidh an chéad phaicéad a ghlacadh ó strainséir, ní thagann ach ceann amháin den dá rud le hobair.
Cén fáth nach bhfoilseoidh spreagadh freastalaí
Tá freastalaí VPN éighníomhach de réir dearaidh. Seolann an piara, cibé ríomhaire glúine i gcaifé nó fón ar shonraí móibíleacha é, an chéad phaicéad, agus níl aon mhapáil ag an rótar dó. Níor chuir aon rud istigh tús le trácht chuig port an spreagtha, mar sin ní théann an riail i ngníomh riamh agus faigheann an nasc bás sula dtosaíonn an crannchur láimhe.
San áit a bhfuil an chuma ar spreagadh go n-oibríonn sé, tá rud éigin eile ag giniúint tráchta ar phort an spreagtha: cliant ar an LAN, probe monatóireachta, nó seiceálacha amach an fhreastalaí féin. Osclaíonn an mhapáil ansin don óstach sin amháin agus dúnann sí nuair a stopann an trácht, mar sin teipeann ar an gcéad phíara seachtrach eile arís agus an chéad rath ina luí sa log mar a bheadh cruthúnas ann.
De ghnáth is aon-óstach é spreagadh freisin. Ligeann go leor feidhmiúchán d'aon ghléas inmheánach amháin an mhapáil a choinneáil ag an am, rud atá go hiomlán mícheart d'fhreastalaí ar cheart dó freagra a thabhairt do roinnt píaraí. Tógadh an ghné d'fheidhmchláir a osclaíonn nasc rialaithe amach agus a bhfuil súil acu le sonraí isteach ar dhara port, agus oireann sí fós don chruth sin.
Cad a mhapálann seoladh ar aghaidh i ndáiríre
Is iontráil aistriúcháin amháin é seoladh ar aghaidh: port WAN agus prótacal chuig seoladh agus port inmheánach. Teastaíonn éisteoir atá ag rith cheana féin ag an taobh eile uaidh, agus teastaíonn sé go bhfanfadh an seoladh inmheánach ina áit. Seolann léas DHCP a aistríonn chuig meaisín eile gach tollán chuig an óstach mícheart, go ciúin, mar sin cruthaigh an áirithint roimh an riail.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
Tá níos mó tábhachta ag an bprótacal ná mar a thugann an fhoirm le tuiscint. Teastaíonn seoladh ar aghaidh UDP ó OpenVPN thar UDP, teastaíonn UDP ó WireGuard, agus tagann sonraí IPsec mar ESP, prótacal IP 50, nach bhfuil aon phoirt aige ar chor ar bith. Ní féidir le foirm seolta ar aghaidh nach nglacann ach TCP nó UDP é sin a chur in iúl, mar sin teastaíonn passthrough nó mapáil statach aon-le-haon ó IPsec in ionad riail phoirt.
An tsraith os cionn do rótair
Ní rialaíonn seoladh ar aghaidh ach an t-aistriúchán atá agatsa. Mura bhfuil an seoladh WAN agatsa, rud a tharlaíonn taobh thiar de NAT iompróra ina roinneann síntiúsóirí 100.64.0.0/10 mar a thuairiscítear in RFC 6598, ní shroicheann an nasc isteach do rótar riamh mar gheall gur aistrigh an soláthraí ar dtús. Ní féidir le haon riail ar do ghléas an t-ord sin a shocrú.
Is é an NAT dúbailte an fhadhb chéanna ar scála beag. Seolann do rótar ar aghaidh chuig rótar an ISP, nach bhfuil aon riail chomhoiriúnach aige agus a scaireann an paicéad. Cuir an riail leis ar an ngléas seachtrach, nó cuir an gléas seachtrach i mód droichid agus lig do do cheannsa an seoladh poiblí a choinneáil.
Sin an fáth go gcaithfidh an tástáil teacht ón taobh amuigh. Braitheann tástáil ón LAN céanna tríd an seoladh poiblí ar thacaíocht hairpin NAT agus féadfaidh sí pasáil nó teip ar chúiseanna nach mbaineann leis an riail; is é fón ar shonraí móibíleacha, nó cara ar líonra eile, an seiceáil is glaine.
Cuir scóip leis an riail, ansin fíoraigh an dá leath
Seol port amháin chuig seoladh amháin. Is é raon a cuireadh leis mar gheall gur theip ar na chéad iarrachtaí an bealach a dtagann comhéadain bhainistíochta chun an idirlín, agus ní gá don éisteoir VPN go mbeadh leathanach riaracháin an rótair foilsithe ina aice.
Coinnigh gach rud a bhí ag cosaint an éisteora sin cheana: féiniúlacht deimhnithe nó eochrach, balla dóiteáin an óstaigh, leaganacha reatha paicéad. Ligeann seoladh ar aghaidh paicéad isteach; cinneann fíordheimhniú an ndéanfaidh an paicéad tollán, agus is dhá theip ar leith iad sin nuair a théann rud éigin mícheart.
Tá dhá leath ag an bhfíorú. Caithfidh an crannchur láimhe críochnú ó líonra seachtrach, agus ansin caithfidh acmhainn phríobháideach taobh thiar den fhreastalaí freagra a thabhairt tríd an tollán. Ligeann seoladh ar aghaidh nasc an tolláin isteach agus ní thúisce; is socrú eile ar scáileán eile é ródú agus údarú do 10.8.0.0/24.
Déan cinneadh le trí cheist
Réitíonn trí cheist an rogha níos gasta ná aon tábla comparáide:
- An nascann rud éigin isteach ón taobh amuigh, mar an chéad phaicéad? Ansin bain úsáid as seoladh ar aghaidh, nó as sealaí. Ní féidir le spreagadh oscailt gan trácht amach nach mbeidh ann riamh.
- An gcaithfidh an poll maireachtáil níos faide ná an t-am díomhaoine? Ansin bain úsáid as seoladh ar aghaidh, mar dúnann mapáil spreagtha ar a sceideal féin.
- An leatsa an seoladh WAN lena fhoilsiú? Mura leatsa é, socraigh an tsraith os a chionn sula n-athraíonn tú aon riail.
Más é “ní hea” an freagra ar na trí, rud a tharlaíonn do ríomhaire glúine a dhiaileálann soláthraí tráchtála é féin, ní gá ceachtar den dá riail. Oibríonn cliant taobh thiar de NAT mar cruthaíonn sé an mhapáil stáit féin, agus clúdaíonn sé sin formhór na ndaoine a léann leathanach faoi sheoladh ar aghaidh port ag meán oíche.