Waɗanne tashoshin VPN a buɗe a kan wuta mai kariya: yarjejeniya da yarjejeniya

Dokoki biyu daban-daban ne ke yanke shawarar ko ramin VPN zai tsallake wuta mai kariya: tashar da abokin ciniki ke bugawa, da yarjejeniyar da ke ɗauke da kaya. Buɗe na farko kawai sai ramin ya tabbatar da kansa, sannan ba ya motsa wani bayani. Mafi ƙaranci shine tashar TCP ɗaya da GRE don PPTP, tashoshin UDP biyu da ESP don L2TP/IPsec da IKEv2, da tasha ɗaya don SSTP, OpenVPN da WireGuard. Shugabanci, bin diddigin yanayi da NAT ne ke yanke sauran.

Fara daga tashar da abokin ciniki ke bugawa

Kowace iyali tana da wurin shiga da abokin ciniki ke tuntuɓa da farko, kuma wannan wurin shiga ne dokar izininka ya kamata ya ambata. Abokan cinikin PPTP suna haɗawa da TCP 1723. L2TP/IPsec yana fara IKE a kan UDP 500 kuma yana ƙaura zuwa UDP 4500 da zarar an yi amfani da hanyar NAT, yayin da firam ɗin L2TP kansa ke kan UDP 1701 a cikin ramin. SSTP yana naɗe zaman a cikin TLS a kan TCP 443, IKEv2 yana yin shawara a kan UDP 500 da 4500, OpenVPN yana amfani da UDP 1194 ta tsohuwa amma ana yawan motsa shi zuwa TCP 443, kuma WireGuard yana saurara a kan UDP 51820.

Ɗauki waɗannan lambobin a matsayin tsohuwar ƙima ba daidaitattun halaye ba. Fuskar WireGuard tana amfani da duk tashar saurara da tsarin sa ya bayyana, kuma uwar garken OpenVPN na iya zama a kowace tashar da mai gudanarwa ya zaɓa. Karanta tsarin uwar garken kafin ka rubuta dokar, domin wutan da aka buɗe don 1194 ba ta yin komai ga uwar garken da aka ƙaura zuwa 443.

Rukunin na uku shine inda yawancin tikitin canji ke ɓata. Dokar tana nan, amma tana nuni ga wurin da ba daidai ba, shugabancin da ba daidai ba, ko jigilar da ba daidai ba.

GRE da ESP lambobin yarjejeniya ne, ba tashoshi ba

GRE da ESP ba su da tashoshi kwata-kwata, don haka fom ɗin wuta da ke karɓar lambobin tasha kawai ba zai iya bayyana su ba. GRE shine yarjejeniyar IP 47 kuma ESP shine yarjejeniyar IP 50, dukansu ana daidaita su ta filin yarjejeniya na kan IP. Dokar da aka rubuta a matsayin tashar TCP 47 ba ta daidaita da komai, kuma haka manufar PPTP ke kama da daidai kuma tana zubar da kowane fakiti bayan musafaha.

Rawutocin masu amfani suna ɓoye wannan a bayan akwatin dubawa na wucewa wanda ke sanya dokar yarjejeniya kuma, ga GRE, mataimakin NAT da ake buƙata don tsara kwarara. A kan ainihin wuta kana ƙara yarjejeniyar da kanka: ba da izinin yarjejeniyar IP 47 zuwa uwar garken PPTP, ba da izinin yarjejeniyar IP 50 zuwa ƙofar IPsec. Inda dandamali ba ta bayar da filin yarjejeniya ba, rufewa ita ce hanyar fita, shi ya sa IKEv2 zai iya komawa UDP 4500 kuma shi ya sa OpenVPN da WireGuard ba sa taɓa fuskantar matsalar.

Duba abin da dokar take daidaitawa da shi kafin ka zargi abokin ciniki. Ma'aunin fakiti da ke tsayawa a sifili a kan ƙofar yana nufin dokar ba ta taɓa kunna ba, kuma babu yawan sake shigarwa a gefen abokin ciniki da zai canza hakan.

Shugabanci, yanayi da NAT suna canza amsar

Abokin ciniki da ke bugawa waje da ƙofar da ke saurara ciki buƙatu ne daban-daban, kuma jerin tashoshi ɗaya na iya zama daidai a wata hanya kuma ba daidai ba a ɗaya. Wuta mai bin yanayi tana bin kwararar UDP a kan 500 da 4500 kuma tana barin amsoshi su dawo ba tare da wata doka ta biyu ba. ESP da GRE ba sa ɗauke da tashoshi, don haka na'urar NAT ba ta da abin da za ta riƙe kuma tana buƙatar mataimaki ko rufewa don bin zaman.

Hanyar NAT ita ce bangaren da ake mantawa. IKEv2 yana farawa a kan UDP 500, yana gano na'urar NAT, sannan yana ci gaba a kan UDP 4500, don haka manufar da ke ba da izinin 500 kawai tana ba da ramin da ya tsaya sannan ya yi shiru. L2TP/IPsec yana yin irin wannan motsi. Idan ɗaukar ka ya nuna musayar farko amma babu ci gaba da zirga-zirga, nemi dokar da ta tsaya a 500.

Rubuta shugabanci tare da kowace doka. «Ba da izinin UDP 4500» ba ya nufin komai har sai ka faɗi daga ina zuwa ina, kuma dokar da ta dace da abokin ciniki mai yawo yawanci ba ta dace da takwarar rukunin-zuwa-rukuni ba.

Duba kowace hanya da ɗauka

Gudanar da ɗaukar a kan ƙofar, ba a kan abokin ciniki ba: abokin ciniki yana rubuta abin da ya iso kawai. Waɗannan matatun suna rufe iyalan da ke sama kuma suna nuna wane mataki ya ɓace:

sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50

Karanta fitarwa a matsayin jeri. Lokacin da shawara ta bayyana amma yarjejeniyar kaya ba, zubar da ke faruwa wani wuri tsakanin abokin ciniki da ƙofar. Lokacin da duka biyu suka bayyana kuma shafin ya ci gaba da gazawa, wutar ba ita ce wanda ake zargi ba kuma; duba tuƙi, DNS ko tafkin adireshi da aka ba abokin ciniki.

A kan na'urar da ba ta da tcpdump, hujjoji ɗaya suna zuwa daga ma'aunin fuska da na doka. Baiti na shiga amma ba sa fita a fuskar rami — hakan yana nuni ga hanyar dawowa ba ga farkon dokar izini ba.

Bar jerin doka da za ka iya karewa

SSTP a kan TCP 443 ba a iya bambance shi da HTTPS na yau da kullum ga kowane matattar da ya dogara da tasha, kuma wannan shine manufar lokacin da cibiyar sadarwa ta ba da izinin zirga-zirgar yanar gizo kawai. Shi ya sa kuma dokar 443 ya kamata ya ambaci ƙofar a matsayin wurin da za a je maimakon dukan intanet. Share dokokin wucin gadi na kowa-zuwa-kowa da zarar ramin ya yi aiki. Rubuta wace doka ta daidaita, lambar yarjejeniya inda akwai, da shugabanci, domin na gaba ya fara daga hujja.

Ƙofofin girgije na aya-zuwa-wuri suna sa zaɓin ya bayyana: bayanin da aka sauke yana amfani da SSTP a kan 443 ko IKEv2 a kan 500 da 4500, kuma ya kamata ka buɗe wanda bayanin ya zaɓa da gaske kawai. PPTP bai cancanci keɓancewar GRE ba a cibiyar sadarwa ta zamani, domin masu ba da wayar hannu suna yawan watsar da yarjejeniya 47 ba tare da la'akari da wutarka ba. Kafin ka rufe tikitin, tabbatar dokar ta dace da tashar da ke cikin tsarin uwar garken, an saita filin yarjejeniya inda iyalin ke buƙata, kuma wurin da za a je ita ce ƙofar ba kowane adireshi ba.