VPN-portkövetelmények: három sor, amelyet az összehasonlítás előtt írunk le
Tisztázza, melyik portkérdése van valójában: kimenő cél, bejövő közzététel vagy a tunel saját szállítása. Utána csak azt kérdezze a szolgáltatótól.
A VPN-szolgáltatások portlistáit összehasonlító oldalak között másolják, kihagyva azt a részletet, amely eldönti, hogy számítanak-e: ki indítja a kapcsolatot. Az a szabály, amely engedélyezi a kimenő TCP 443-at, semmit sem mond arról, elérhet-e egy másik gazdagép egy figyelőt a gépén. Írjon le három külön követelményt, mielőtt egyetlen csomagot összehasonlít, és jelölje meg, melyekre a feladatának valóban szüksége van. A legtöbb összehasonlítás egyetlen rövid kérdésre zsugorodik, amint létezik ez a lap.
Válassza szét a követelményt, mielőtt bármelyik portlistát elolvassa
Három sor szinte minden esetet lefed: egy úti cél elérése a tunelen túl, valami közzététele, hogy mások befelé csatlakozhassanak, és magának a tunelnek a szállítása. Mindegyik sor más okból hiúsul meg, és egy szolgáltatói szabályzat, amely az egyiket kielégíti, a másik kettőt érintetlenül hagyhatja. A feladat megfelelő sorba sorolása öt percet vesz igénybe, és később megspórol egy vitát.
| Line | Who starts it | What can block it | Question for the provider |
|---|---|---|---|
| Outbound destination | Your application | Egress filter on the exit node | Is this protocol and port allowed to that destination? |
| Inbound publishing | A remote peer | No mapping, no public address, short lifetime | Which protocol, which external port, and how long does the mapping last? |
| Tunnel transport | Your client to the gateway | The access network drops that protocol | Does the client offer a fallback the local network permits? |
A marketingállítások szándékosan elmossák a három sort. A P2P-engedély célpolitikát ír le, a dedikált cím egy címet ír le, a portkorlátozás hiányáról szóló állítás pedig általában azt jelenti, hogy a csomag nem sorolja fel őket. Egyik ilyen fordulat sem válaszol a többire.
Válasszon egy konkrét folyamot, és írja le mondatként: kezdeményező, szállítás, port, címcsalád, irány. Egy éjszakai biztonsági mentési kliens, amely távoli gazdagépre tölt fel, csak kimenő. Az asztalán lévő játékszerver, amelyhez barátok csatlakoznak, bejövő. Mindkettőt egy tunelen át futtatni azt jelenti, hogy a lapnak mindkét sorra szüksége van, nem kompromisszumra közöttük.
A kimenő hozzáférés a célpolitikán bukik el, nem a tunelen
A fordító átjárón átmenő kimenő forgalom állapotot hoz létre. A belső címről és portról érkező első csomag fordítótárgyat épít, és a válaszok ehhez illeszkednek, ez az RFC 3022-ben leírt leképezési viselkedés. Ez a mechanizmus az oka, hogy egy böngészőlap általában minden portkérés nélkül működik.
Két dolog mégis megtöri ezt. A kilépési csomópont szűrheti az általa visszaélésszerűnek tartott célokat vagy portszámokat, és az alkalmazás olyan porton figyelhet, amelyet a kilépési szabályzat soha nem várt. A bejövő szabályok helyett a célpárról kérdezzen, és a TCP és az UDP esetében eltérő válaszokra számítson.
Mérjen, mielőtt vitatkozik. Futtassa ezeket a gépen, amely a tunel mögött fog állni, egyszer kikapcsolt, egyszer bekapcsolt tunellel:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://example.com
Ugyanazok a parancsok, ugyanaz a cél, két tunelállapot: az üzemeltető olyan előtte-utána összehasonlítást kap, amelyre támaszkodhat. Cserélje le a dokumentációs címet arra a gazdagépre, amelyre valóban szüksége van; az a fontos, hogy az összehasonlítás megismétlődjön, nem az, hogy valamelyik szám lenyűgözőnek tűnjön.
A bejövő közzétételhez leképezés, cím és élettartam kell
Kívülről semmi nem tud kapcsolatot indítani a figyelője felé, hacsak valami a nyilvános oldalon nem tudja, hová szállítsa. Az üzemeltető által tartott statikus portfoglalás, az ügyfél által UPnP-n, NAT-PMP-n vagy PCP-n keresztül kért leképezés, és egy irányított nyilvános cím három különböző termék, három különböző korláttal.
Tegyen fel öt kérdést bármelyikről: melyik protokoll, melyik külső port, eltérhet-e a külső port a helyitől, melyik címcsaládot fedi le, és mennyi ideig éli túl a leképezés az újracsatlakozást. Az aktív munkamenethez kötött foglalás eltűnik, amikor az a munkamenet véget ér, bármit is mond a csomag oldala.
Először a helyi felet igazolja, mert a halott figyelő és az elzárt bejövő útvonal kívülről ugyanúgy néz ki:
ss -lntup | grep -E ':(8080|51820)\b'
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
Amikor a helyi kérés 200-at ad vissza, és egy olyan hálózatból érkező kérés, amelyet nem irányít, még mindig időtúllépéssel zárul, a rés a nyilvános oldalon van. Ez a pillanat, amikor a protokollt és a külső portot meg kell mondani az üzemeltetőnek, nem pedig az alkalmazást név szerint leírni.
A tunel saját szállítása külön kérdés
A hordozó portjai a probléma legkisebb része és a legkönnyebben kikereshető. Az alapértékek protokollonként eltérnek, és hogy az ügyfél miről tud tárgyalni, többet számít bármelyik csomagleírásnál.
| Client | Outer transport | Default port | When it helps |
|---|---|---|---|
| OpenVPN | UDP | 1194 | Default mode; needs outbound UDP to pass |
| OpenVPN | TCP | 443 | UDP is dropped and TCP 443 is not |
| WireGuard | UDP | 51820 | Short handshake; there is no TCP mode |
| IKEv2/IPsec | UDP | 500 and 4500 | Mobile clients; 4500 carries NAT traversal |
Egy hálózat, amely eldobja a kimenő UDP-t, elfogad egy TCP 443 tunelt, és elutasítja az UDP-t, ezért a tartalék mód a követelménylapra tartozik. A hordozó cseréje nem mozgat alkalmazásportot a tunelen belül, és nem szélesít célpolitikát; azok a saját soraikon maradnak.
A töredezettség megér egy próbát, amíg ott van, mert egy tunel, amely csatlakozik, majd nagy átviteleknél elakad, általában rossz MTU-val rendelkezik, nem zárt porttal:
ping -M do -s 1400 203.0.113.10 ping -M do -s 1372 203.0.113.10
Windows alatt ugyanez a próba ping -f -l 1400 203.0.113.10. Állítsa a tunel MTU-ját az átmenő legnagyobb méret alá, majd tesztelje újra a sikertelen átvitelt.
Ellenőrizze a három sort, mielőtt fizet egy csomagért
Tegye a három sort egy oldalra, és töltsön ki minden cellát mért eredménnyel ígéret helyett. Ezek a parancsok körülbelül egy perc alatt előállítják az oldal helyi felét:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
ping -M do -s 1400 203.0.113.10
Olvassa a kimenetet ellenőrzőlistaként. A kimenő akkor működik, amikor a cél válaszol bekapcsolt tunellel. A bejövő csak akkor működik, ha a hálózatán kívüli gazdagép eléri a figyelőt a külső porton. A hordozó akkor működik, ha a kézfogás olyan protokollon fejeződik be, amelyet a hozzáférési hálózata engedélyez.
Két szokás tartja őszintén a lapot. Jegyezze fel a dátumot és az ügyfél verzióját minden eredmény mellé, mert a szolgáltatói szabályzatok és az ügyfél alapértékei is mozognak. Aztán a folyamot kiszolgáló legszűkebb leképezést kérje, mert a mindent megnyitó kérés általában elutasítást vagy további értékesítést ér el technikai válasz helyett.