Cé na poirt VPN atá le hoscailt ar bhalla dóiteáin: prótacal ar phrotacal

Cinneann dhá riail ar leithligh an maireann tollán VPN ar bhalla dóiteáin: an port a dhiaileálann an cliant, agus an prótacal a iompraíonn an t-ualach. Oscail an chéad cheann amháin agus déanann an tollán fíordheimhniú, ach ansin ní bhogfaidh sé aon sonraí. Is é an t-íosmhéid ná port TCP amháin agus GRE do PPTP, dhá phort UDP agus ESP do L2TP/IPsec agus IKEv2, agus port amháin do SSTP, OpenVPN agus WireGuard. Cinneann treo, rianú stáit agus NAT an chuid eile.

Tosaigh ón bport a dhiaileálann an cliant

Tá pointe iontrála ag gach fine, a dtéann an cliant i dteagmháil leis ar dtús, agus is é an pointe iontrála sin an rud a chaithfidh do riail cheadaithe a ainmniú. Ceanglaíonn cliaint PPTP le TCP 1723. Tosaíonn L2TP/IPsec IKE ar UDP 500 agus aistríonn sé go UDP 4500 nuair a bhíonn trasnú NAT in úsáid, agus an fráma L2TP féin ar UDP 1701 taobh istigh den tollán. Fillteann SSTP an seisiún i TLS ar TCP 443, déanann IKEv2 idirbheartaíocht ar UDP 500 agus 4500, úsáideann OpenVPN UDP 1194 de réir réamhshocraithe ach aistrítear go TCP 443 go minic é, agus éisteann WireGuard ar UDP 51820.

Caith leis na huimhreacha sin mar réamhshocruithe seachas mar airíonna seasta. Úsáideann comhéadan WireGuard cibé port éisteachta a dhearbhaíonn a chumraíocht, agus féadann freastalaí OpenVPN suí ar aon phort a roghnaigh an riarthóir. Léigh cumraíocht an fhreastalaí sula scríobhann tú an riail, mar ní dhéanann balla dóiteáin a osclaíodh do 1194 aon rud d'fhreastalaí a bogadh go 443.

Is sa tríú colún is mó a théann ticéid athraithe amú. Tá an riail ann, ach díríonn sí ar an gceann scríbe mícheart, ar an treo mícheart nó ar an iompar mícheart.

Uimhreacha prótacail is ea GRE agus ESP, ní poirt

Níl aon phoirt ag GRE ná ag ESP, mar sin ní féidir le foirm bhalla dóiteáin nach nglacann ach uimhreacha poirt iad a chur in iúl. Is é GRE prótacal IP 47 agus is é ESP prótacal IP 50, agus déantar an dá cheann a mheaitseáil trí réimse prótacail cheanntásc IP. Ní mheaitseálann riail a scríobhtar mar phort TCP 47 aon rud, agus is mar sin a bhíonn beartas PPTP ceart le feiceáil agus fós cailltear gach paicéad tar éis an chroitheadh láimhe.

Ceileann rótair tomhaltóra é seo taobh thiar de bhosca roghnaithe trasnaithe a shuiteálann an riail phrótacail agus, do GRE, an cúntóir NAT atá de dhíth chun an sreabhadh a mhapáil. Ar bhalla dóiteáin ceart cuireann tú an prótacal leis féin: ceadaigh prótacal IP 47 chuig an bhfreastalaí PPTP, ceadaigh prótacal IP 50 chuig an gcóngar IPsec. Nuair nach dtairgeann an t-ardán réimse prótacail, is é an t-imfhálú an tslí amach, agus is é sin an fáth gur féidir le IKEv2 titim siar go UDP 4500 agus nach dtagann OpenVPN ná WireGuard ar an bhfadhb riamh.

Seiceáil cad a mheaitseálann an riail i ndáiríre sula gcúisíonn tú an cliant. Deir áiritheoir paicéad a fhanann ag nialas ar an gcóngar nár las an riail riamh, agus ní athraíonn aon mhéid athshuiteála ar thaobh an chliaint é sin.

Athraíonn treo, staid agus NAT an freagra

Is riachtanais éagsúla iad cliant a dhiaileálann amach agus cóngar a éisteann isteach, agus féadann an liosta poirt chéanna a bheith ceart i dtreo amháin agus mícheart sa treo eile. Riantaíonn balla dóiteáin stáit an sreabhadh UDP ar 500 agus 4500 agus ligeann sé freagraí ar ais gan dara riail. Ní iompraíonn ESP ná GRE poirt, mar sin níl aon rud ag gléas NAT le greamú ann agus teastaíonn cúntóir nó imfhálú uaidh chun an seisiún a leanúint.

Is é trasnú NAT an chuid a dhéantar dearmad air. Tosaíonn IKEv2 ar UDP 500, aimsíonn sé gléas NAT agus leanann sé ar UDP 4500, mar sin tugann beartas nach gceadaíonn ach 500 tollán a bhunaítear agus a éiríonn ciúin ansin. Déanann L2TP/IPsec an ghluaiseacht chéanna. Má thaispeánann do ghabháil an chéad mhalartú ach gan trácht leanúnach, féach le riail a stopann ag 500.

Taifead an treo le gach riail. Ní chiallaíonn «ceadaigh UDP 4500» aon rud go dtí go ndeir tú ó cén áit go cén áit, agus is gnách go mbíonn riail atá ceart do chliant fánaíochta mícheart do phiar suíomh-go-suíomh.

Seiceáil gach cosán le gabháil

Rith an ghabháil ar an gcóngar, ní ar an gcliant: ní thaifeadann cliant ach an méid a tháinig. Clúdaíonn na scagairí seo na finte thuas agus taispeánann siad cé an chéim atá ar iarraidh:

sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50

Léigh an t-aschur mar sheicheamh. Nuair a thagann an idirbheartaíocht chun solais ach nach dtagann prótacal an ualaigh, tarlaíonn an titim áit éigin idir an cliant agus an cóngar. Nuair a thagann an dá rud chun solais agus go dteipeann ar an leathanach fós, ní hé an balla dóiteáin an t-amhras a thuilleadh; féach ar ródú, DNS nó ar an linn seoltaí a tugadh don chliant.

Ar mheaisín gan tcpdump, tagann na fianaise chéanna ó áiritheoirí comhéadain agus rialacha. Pointíonn bearta a thagann isteach ach nach dtéann amach ar chomhéadan an tolláin chuig an gcosán fillte seachas chuig an riail cheadaithe tosaigh.

Fág sraith rialacha ar féidir leat í a chosaint

Ní féidir SSTP ar TCP 443 a idirdhealú ó HTTPS gnáthach d'aon scagaire atá bunaithe ar phoirt, agus sin an pointe nuair nach gceadaíonn líonra ach trácht gréasáin. Is é sin an fáth freisin ar cheart do riail 443 an cóngar a ainmniú mar cheann scríbe in ionad an idirlín ar fad. Scrios rialacha sealadacha ó-aon-rud-go-haon-rud a luaithe a oibríonn an tollán. Scríobh síos cé acu riail a mheaitseáil, an uimhir phrótacail nuair a bhíonn ceann ann, agus an treo, ionas go dtosóidh an chéad duine eile ó fhianaise.

Déanann cóngair scamall pointe-go-suíomh an rogha sofheicthe: úsáideann an próifíl íoslódáilte SSTP ar 443 nó IKEv2 ar 500 agus 4500, agus níor cheart duit ach an ceann a roghnaíonn an phróifíl i ndáiríre a oscailt. Ní fiú PPTP an eisceacht GRE ar líonra nua-aimseartha, ós rud é gur minic a chaitheann oibreoirí móibíleacha prótacal 47 i leataobh is cuma faoi do bhalla dóiteáin. Sula ndúnann tú an ticéad, deimhnigh go n-oireann an riail don phort i gcumraíocht an fhreastalaí, go bhfuil réimse an phrótacail socraithe san áit a dteastaíonn sé ón bhfine, agus gurb é an cóngar an ceann scríbe seachas aon seoladh.