Պորտի ակտիվացում ընդդեմ պորտի փոխանցման տնային VPN սերվերի համար
Ակտիվացումը քարտեզագրում է բացում ելքային տրաֆիկից հետո՝ փոխանցումը քարտեզագրում է պորտը մշտապես։ Տնային VPN սերվերին պետք է երկրորդը՝ սահմանափակված իրական լսողով։
Պորտի փոխանցումը և պորտի ակտիվացումը գտնվում են նույն մենյուում տնային երթուղիչների մեծ մասում, և դրա համար էլ դրանք դիտվում են որպես մեկ աշխատանք կատարելու երկու եղանակ։ Փոխանցումը ստատիկ կանոն է՝ WAN պորտին եկող մուտքային կապը թարգմանվում է հաստատուն ներքին հասցեի և պորտի, անկախ նրանից՝ այլ բան տեղի է ունենում, թե ոչ։ Ակտիվացումը պայմանական է՝ երթուղիչը հետևում է ելքային տրաֆիկին և մուտքային քարտեզագրում բացում է միայն համապատասխան կապի դուրս գալուց հետո։ VPN սերվերը սպասում է, որ նախ ուրիշը միանա, ուստի հենց այդ պայմանն է միակ բանը, որը նա երբեք չի կարող կատարել։
Երկու կանոն՝ տարբեր կենսացիկլերով
IPv4-ի NAT-ը վիճակային է։ Երբ ներքին հոսթը փաթեթ է ուղարկում դուրս, երթուղիչը ստեղծում է քարտեզագրում, որպեսզի պատասխանները գտնեն վերադարձի ճանապարհը՝ մուտքային փաթեթը, որը չի համապատասխանում ոչ մի քարտեզագրման, դեն է նետվում, և հենց այդ վարքագիծն է թարմացված չլինող աշխատասեղանը ինտերնետից դուրս պահում։ Փոխանցումը ձեռքով ավելացված մշտական թարգմանության գրառում է։ Ակտիվացումը երթևեկության օրինաչափությամբ հսկվող ժամանակավոր անցք է։
Գործնական տարբերությունը ժամանակն է։ Փոխանցումը գոյություն ունի պահպանման պահից մինչև ինչ-որ մեկը ջնջի այն։ Ակտիվացված քարտեզագրումը գոյություն ունի ակտիվացնողի գործարկումից հետո և փակվում է անգործության ժամաչափով, որը սպառողական սարքաշարում չափվում է րոպեներով, կամ անմիջապես վերագործարկման ժամանակ։
Ոչ մեկը վերացականորեն ավելի ապահով չէ։ Փոխանցումը մեկ պորտ բաց է պահում անընդհատ՝ ակտիվացնողը բացում է այն միայն որոշակի ելքային տրաֆիկից հետո։ Ծառայության համար, որը պետք է ընդունի առաջին փաթեթը անծանոթից, աշխատանքին համապատասխանում է դրանցից միայն մեկը։
Ինչու ակտիվացումը սերվեր չի հրապարակի
VPN սերվերը պասիվ է իր էությամբ։ Գործընկերը՝ լինի դա սրճարանում նոութբուք, թե բջջային տվյալներով հեռախոս, ուղարկում է առաջին փաթեթը, և երթուղիչը դրա համար քարտեզագրում չունի։ Ներսում ոչինչ տրաֆիկ չի սկսել դեպի ակտիվացնող պորտը, ուստի կանոնը երբեք չի գործարկվում, և կապը մահանում է նախքան ձեռքսեղմումը սկսվելը։
Այնտեղ, որտեղ ակտիվացումը կարծես աշխատում է, ինչ-որ այլ բան է տրաֆիկ ստեղծում ակտիվացնող պորտի վրա՝ հաճախորդ LAN-ում, մոնիտորինգի զոնդ, կամ սերվերի սեփական ելքային ստուգումները։ Այնուհետև քարտեզագրումը բացվում է այդ մեկ հոսթի համար և փակվում, երբ տրաֆիկը դադարում է, ուստի հաջորդ արտաքին գործընկերը կրկին ձախողվում է, մինչ առաջին հաջողությունը մնում է մատյանում և ապացույցի տեսք ունի։
Ակտիվացումը սովորաբար նաև մեկ հոսթի համար է։ Շատ իրականացումներ թույլ են տալիս, որ միաժամանակ միայն մեկ ներքին սարք պահի քարտեզագրումը, ինչը լրիվ սխալ է սերվերի համար, որը պետք է պատասխանի մի քանի գործընկերների։ Գործառույթը ստեղծվել է հավելվածների համար, որոնք ելքային կառավարման կապ են բացում և սպասում են մուտքային տվյալներ երկրորդ պորտի վրա, և այն դեռ համապատասխանում է այդ ձևին։
Ինչ է իրականում քարտեզագրում փոխանցումը
Փոխանցումը մեկ թարգմանության գրառում է՝ WAN պորտ և արձանագրություն դեպի ներքին հասցե և պորտ։ Այն պահանջում է լսող, որն արդեն աշխատում է մյուս ծայրում, և պահանջում է, որ ներքին հասցեն մնա իր տեղում։ DHCP վարձակալությունը, որը տեղափոխվում է այլ մեքենա, լուռ ուղարկում է յուրաքանչյուր թունել սխալ հոսթի, ուստի ստեղծեք ամրագրումը կանոնից առաջ։
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
Արձանագրությունն ավելի կարևոր է, քան ձևը հուշում է։ OpenVPN-ը UDP-ի վրա պահանջում է UDP փոխանցում, WireGuard-ը պահանջում է UDP, իսկ IPsec տվյալները գալիս են որպես ESP՝ IP արձանագրություն 50, որն ընդհանրապես պորտեր չունի։ Փոխանցման ձևը, որն ընդունում է միայն TCP կամ UDP, չի կարող դա արտահայտել, ուստի IPsec-ին պետք է passthrough կամ ստատիկ մեկ-մեկ քարտեզագրում՝ պորտի կանոնի փոխարեն։
Շերտը ձեր երթուղիչից վեր
Փոխանցումը վերահսկում է միայն ձեր սեփական թարգմանությունը։ Եթե WAN հասցեն ձերը չէ, ինչը օպերատորի NAT-ի հետևում է, որտեղ բաժանորդները կիսում են 100.64.0.0/10-ը՝ ինչպես նկարագրված է RFC 6598-ում, մուտքային կապը երբեք չի հասնում ձեր երթուղիչին, քանի որ մատակարարն առաջինն է թարգմանել։ Ձեր սարքի ոչ մի կանոն չի կարող ուղղել այդ հերթականությունը։
Կրկնակի NAT-ը նույն խնդիրն է փոքր մասշտաբով։ Ձեր երթուղիչը փոխանցում է ISP-ի երթուղիչին, որը համապատասխան կանոն չունի և դեն է նետում փաթեթը։ Կամ ավելացրեք կանոնը արտաքին սարքում, կամ արտաքին սարքը դրեք կամրջի ռեժիմում և թողեք ձերը պահի հանրային հասցեն։
Դրա համար էլ ստուգումը պետք է դրսից գա։ Նույն LAN-ից հանրային հասցեով արվող ստուգումը կախված է hairpin NAT-ի աջակցությունից և կարող է անցնել կամ ձախողվել կանոնի հետ կապ չունեցող պատճառներով՝ բջջային տվյալներով հեռախոսը կամ մեկ այլ ցանցում գտնվող ընկերը ավելի մաքուր ստուգում է։
Սահմանափակեք կանոնը, ապա ստուգեք երկու կեսերը
Փոխանցեք մեկ պորտ մեկ հասցեի։ Այն միջակայքը, որ ավելացվել է, որովհետև առաջին փորձերը ձախողվել են, հենց այն ուղին է, որով կառավարման ինտերֆեյսները հայտնվում են ինտերնետում, և VPN լսողին պետք չէ երթուղիչի ադմին էջը կողքին հրապարակած։
Պահպանեք այն ամենը, ինչ արդեն պաշտպանում էր այդ լսողին՝ վկայականի կամ բանալու ինքնություն, հոսթի հրապատ, ընթացիկ փաթեթների տարբերակներ։ Փոխանցումը ներս է թողնում փաթեթ՝ նույնականացումը որոշում է՝ փաթեթը թունել կդառնա, թե ոչ, և դրանք երկու առանձին ձախողումներ են, երբ ինչ-որ բան սխալ է գնում։
Ստուգումն ունի երկու կես։ Ձեռքսեղմումը պետք է ավարտվի արտաքին ցանցից, ապա սերվերի հետևում գտնվող մասնավոր ռեսուրսը պետք է պատասխանի թունելով։ Փոխանցումը ներս է թողնում թունելի կապը և ոչ ավելին՝ 10.8.0.0/24-ի երթուղավորումն ու թույլտվությունը այլ կարգավորում է այլ էկրանում։
Որոշեք երեք հարցով
Երեք հարց ընտրությունը լուծում են ավելի արագ, քան ցանկացած համեմատական աղյուսակ.
- Դրսից ինչ-որ բան միանում է որպես առաջին փաթեթ? Ապա օգտագործեք փոխանցում կամ ռելե։ Ակտիվացումը չի կարող բացվել առանց ելքային տրաֆիկի, որը երբեք չի լինի։
- Անցքը պետք է ապրի անգործության ժամանակից ավելի? Ապա օգտագործեք փոխանցում, որովհետև ակտիվացված քարտեզագրումը փակվում է իր ժամանակացույցով։
- WAN հասցեն ձե՞րն է հրապարակելու համար? Եթե ոչ, ուղղեք վերևի շերտը նախքան որևէ կանոն խմբագրելը։
Եթե երեքի պատասխանը ոչ է, ինչը նոութբուքի դեպքն է, որն ինքն է զանգում առևտրային մատակարարի, կանոններից ոչ մեկը պետք չէ։ NAT-ի հետևի հաճախորդն աշխատում է, որովհետև ինքն է ստեղծում վիճակային քարտեզագրումը, և դա ընդգրկում է մարդկանց մեծ մասին, ովքեր կեսգիշերին կարդում են պորտի փոխանցման էջը։