Հաստատուն UDP պորտերը կարող են շրջանցել պորտերի փոխանցումը, բայց ոչ ամեն NAT

Երկու տնային երթուղիչ, ոչ մի փոխանցված պորտ, և VPN, որը երբեմն այնուամենայնիվ միանում է: UDP-ն դա թույլատրում է, քանի որ հրդեհային պատը կընդունի փաթեթ, որը կարող է համադրել մեքենայի արդեն սկսած հոսքի հետ. Սա պայմանական հնարք է, ոչ թե գործառույթ, և պայմանները հեշտ է թվարկել, երբ գիտես, թե ինչ է համեմատում հրդեհային պատը: Դրանք նաև պատճառն են, թե ինչու նույնական պրոֆիլները տարբեր ցանցերում տարբեր կերպ են վարվում:

Համեմատությունը, որն անում է հրդեհային պատը

Յուրաքանչյուր ելքային դատագրամ ստեղծում է կարճատև գրառում՝ աղբյուրի հասցե, աղբյուրի պորտ, նպատակակետի հասցե, նպատակակետի պորտ: Այն ամենը, ինչ գալիս է և համապատասխանում գրառմանը, համարվում է պատասխան և բաց թողնվում: Մուտքային կանոնները դրանում որևէ դեր չեն խաղում:

Այսպիսով, հարցը ոչ թե այն է, թե արդյոք հրդեհային պատը ներս է թողնում գործընկերոջը: Հարցը այն է, թե արդյոք գործընկերոջ փաթեթը նման է պատասխանին, որին սպասում է գրառումը: Փոխեք այդ քառամաս բազմակի մեկ դաշտը, և փաթեթը դառնում է օտար: Այդ պատճառով աշխատող կարգավորումը կարող է խափանվել, երբ փոխվում է միայն պորտի համարը, և այդ պատճառով նույն պորտը կարող է աշխատել մի երթուղիչում և ձախողվել հաջորդում:

Ամրացրեք տեղական աղբյուրի պորտը, և նույն համարը կհայտնվի փոխանակման երկու կողմերում: Դա է ամբողջ մեխանիզմը, և դա բացատրում է, թե ինչու հնարքը փխրուն է, ոչ թե խորհրդավոր:

Մեկ պորտի ամրացում յուրաքանչյուր ծայրում

OpenVPN-ի լռելյայն UDP պորտը 1194-ն է, և lport սահմանում է աղբյուրի պորտը, որից ուղարկում է: Ամրացրեք երկու գործընկերներին էլ, և յուրաքանչյուրի ելքային բազմակը կուղղվի այն պորտին, որին լսում է մյուսը:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Դա աշխատում է միայն այնքան ժամանակ, քանի դեռ նրանց միջև ոչ մի երթուղիչ չի վերագրում աղբյուրի պորտը: Երբ փաթեթները հայտնվում են գրավման մեջ, բայց թունել չի բարձրանում, վերագրումը առաջին կասկածյալն է:

Որտեղ բազմակը դադարում է համապատասխանել

Ըստ նպատակակետի քարտեզագրող NAT-ը յուրաքանչյուր գործընկերոջ տալիս է տարբեր արտաքին պորտ: Այն հասցեն, որն ասվել է ձեր գործընկերոջն օգտագործել, այն հասցեն չէ, որ հասնում է նրան, ուստի մուտքային փաթեթը ոչ մի բանի չի համապատասխանում և լուռ դեն է նետվում:

Օպերատորի մակարդակի թարգմանությունը, շերտավորված NAT-ը և պորտերի պատահականացումը բոլորը նույն կերպ են ավարտվում: Նույնը՝ ցանկացած միջանկյալ տուփ, որը վերագրում է պորտերը՝ հասցեներին չդիպչելով:

Հոսքային տրանսպորտները ավելի վատ վիճակում են: TCP ձեռքսեղմումը հետևվում է քայլ առ քայլ, ուստի TCP-ի վրա հիմնված VPN-ն այս կերպ ընդհանրապես չի կարող ծակվել և ուղու ինչ-որ տեղ լսողի կարիք ունի:

Սովորաբար մի կողմն առաջինն է ձախողվում

Գործնականում երկու ցանցերը հազվադեպ են նույն կերպ վարվում: Մի երթուղիչ կարող է տալ կանխատեսելի քարտեզագրում, մինչդեռ մյուսը տալիս է պորտեր ըստ նպատակակետի, և արդյունքը կարգավորում է, որն աշխատում է երկու տան միջև և ձախողվում բջջային ցանցից: Իրար հակասող հաշվետվությունները սովորաբար նկարագրում են երկու տարբեր զույգ երթուղիչներ: Ոչ մի հեղինակ սխալ չէ, և ոչ մի արդյունք չի ընդհանրացվում:

Պարզեք, թե որ կողմն է գցել փաթեթը, նախքան պրոֆիլներին դիպչելը: Երկու ծայրերում գրավումները լուծում են դա մեկ փորձով՝ դատագրամները, որոնք հեռանում են A-ից և երբեք չեն հասնում B-ին, նշանակում են, որ հոսքը ճանապարհին վերագրվել է, մինչդեռ դատագրամները, որոնք հասնում են B-ին առանց պատասխանի վերադարձի, նշանակում են, որ հրդեհային պատը դրանք որպես կապված չի ընդունել:

Հանրային IPv6 հասցեներով երկու գործընկեր շրջանցում են ամբողջ խնդիրը: Առանց թարգմանության համադրելու բան չկա, ուստի գործընկերներին անվանող հրդեհային պատի կանոնը բավական է, և ձևավորումը դադարում է կախված լինել երթուղիչի վարքից:

Երբ դադարել փորձել

Հանրային հասցեով հոսթը վստահելի պատասխանն է: Այն կարող է ավարտել թունելը երկու գործընկերների համար, կամ պարզապես օգնել նրանց գտնել միմյանց ընթացիկ արտաքին հասցեն, և երկու դասավորություններն էլ աշխատում են, ինչ էլ որ անեն NAT-ները: Կառավարվող վերադիր շերտը տալիս է նույն համակարգումը, եթե քաղաքականությունը թույլ է տալիս:

Սրանցից ոչ մեկին անջատված հրդեհային պատ պետք չէ: Պաշտպանությունն անջատելը՝ ուղիղ կապը հաղթելու համար, դեն է նետում այն պատճառը, թե ինչու ուղիղ փորձը գրավիչ էր, և մեքենան բաց է թողնում փորձարկման ողջ ընթացքում:

Նախ փորձեք ուղիղ դասավորությունը, ապա գրի առեք, ինչ տեսաք: NAT-ի վարքը և այն ցույց տված գրավումը ավելի արժեքավոր են, քան այն պորտազույգը, որն ի վերջո օգտագործեցիք, որովհետև հաջորդ ցանցը տարբեր կլինի: OpenVPN 2.6 ձեռնարկը փաստագրում է lport և remote ընտրանքները, որոնցից սա կախված է: