Pemicuan port versus penerusan port untuk server VPN rumahan

Penerusan port dan pemicuan port berada di menu yang sama pada sebagian besar router rumahan, sehingga keduanya diperlakukan sebagai dua cara melakukan satu pekerjaan. Penerusan adalah aturan statis: koneksi masuk ke port WAN diterjemahkan ke alamat dan port dalam yang tetap, terlepas dari ada atau tidaknya hal lain yang terjadi. Pemicuan bersifat kondisional: router memantau lalu lintas keluar dan baru membuka pemetaan masuk setelah ada koneksi yang cocok keluar. Server VPN menunggu orang lain menghubung lebih dulu, jadi justru syarat itulah satu-satunya hal yang tidak pernah bisa dipenuhinya.

Dua aturan dengan siklus hidup berbeda

NAT IPv4 menyimpan status. Saat host dalam mengirim paket keluar, router membuat pemetaan agar balasan menemukan jalan pulang; paket masuk yang tidak cocok dengan pemetaan mana pun akan dibuang, dan perilaku itulah yang menjaga komputer meja yang belum ditambal tetap di luar internet. Penerusan adalah entri terjemahan permanen yang ditambahkan dengan tangan. Pemicuan adalah lubang sementara yang dijaga oleh pola lalu lintas.

Perbedaan praktisnya adalah waktu. Penerusan ada sejak disimpan sampai seseorang menghapusnya. Pemetaan yang dipicu ada setelah pemicu menyala dan menutup pada pengatur waktu diam, yang diukur dalam menit pada perangkat konsumen, atau segera saat reboot.

Tidak ada yang lebih aman secara abstrak. Penerusan mengekspos satu port terus-menerus; pemicu hanya mengeksposnya setelah lalu lintas keluar tertentu. Untuk layanan yang harus menerima paket pertama dari orang asing, hanya satu dari keduanya yang cocok dengan tugas itu.

Mengapa pemicuan tidak akan mempublikasikan server

Server VPN bersifat pasif sejak desainnya. Rekan lawan, entah laptop di kafe atau ponsel dengan data seluler, mengirim paket pertama, dan router tidak memiliki pemetaan untuknya. Tidak ada apa pun di dalam yang memulai lalu lintas ke port pemicu, jadi aturan itu tidak pernah menyala dan koneksi mati sebelum jabat tangan dimulai.

Di tempat pemicuan tampak berhasil, ada hal lain yang menghasilkan lalu lintas di port pemicu: klien di LAN, probe pemantauan, atau pemeriksaan keluar dari server itu sendiri. Pemetaan lalu terbuka untuk satu host itu saja dan menutup saat lalu lintas berhenti, sehingga rekan eksternal berikutnya gagal lagi sementara keberhasilan pertama duduk di log dan tampak seperti bukti.

Pemicuan juga biasanya satu host. Banyak implementasi hanya mengizinkan satu perangkat dalam memegang pemetaan pada satu waktu, yang justru salah untuk server yang seharusnya menjawab beberapa rekan. Fitur itu dibuat untuk aplikasi yang membuka koneksi kendali keluar dan mengharapkan data masuk pada port kedua, dan masih cocok dengan bentuk itu.

Apa yang sebenarnya dipetakan penerusan

Penerusan adalah satu entri terjemahan: port dan protokol WAN ke alamat dan port dalam. Penerusan membutuhkan pendengar yang sudah berjalan di ujung lain, dan membutuhkan alamat dalam tetap di tempatnya. Sewa DHCP yang pindah ke mesin lain mengirim setiap terowongan ke host yang salah, secara diam-diam, jadi buat reservasi sebelum aturannya.

Protokol lebih penting daripada yang disiratkan formulir. OpenVPN melalui UDP membutuhkan penerusan UDP, WireGuard membutuhkan UDP, dan data IPsec datang sebagai ESP, protokol IP 50, yang sama sekali tidak punya port. Formulir penerusan yang hanya menerima TCP atau UDP tidak dapat menyatakan itu, jadi IPsec membutuhkan passthrough atau pemetaan statis satu-ke-satu alih-alih aturan port.

Lapisan di atas router Anda

Penerusan hanya mengendalikan terjemahan yang Anda miliki. Jika alamat WAN bukan milik Anda, yang merupakan kasus di balik NAT penyedia tempat pelanggan berbagi 100.64.0.0/10 seperti dijelaskan dalam RFC 6598, koneksi masuk tidak pernah mencapai router Anda karena penyedia menerjemahkan lebih dulu. Tidak ada aturan di perangkat Anda yang dapat memperbaiki urutan itu.

NAT ganda adalah masalah yang sama dalam skala kecil. Router Anda meneruskan ke router ISP, yang tidak memiliki aturan yang cocok dan membuang paket. Entah tambahkan aturan itu di perangkat luar, atau letakkan perangkat luar dalam mode jembatan dan biarkan perangkat Anda memegang alamat publik.

Karena itulah pengujian harus datang dari luar. Pengujian dari LAN yang sama melalui alamat publik bergantung pada dukungan hairpin NAT dan bisa lulus atau gagal karena alasan yang tidak terkait aturan; ponsel dengan data seluler, atau teman di jaringan lain, adalah pemeriksaan yang lebih bersih.

Batasi aturannya, lalu verifikasi kedua belahannya

Teruskan satu port ke satu alamat. Rentang yang ditambahkan karena percobaan pertama gagal adalah cara antarmuka manajemen berakhir di internet, dan pendengar VPN tidak membutuhkan halaman admin router dipublikasikan di sampingnya.

Pertahankan semua yang sudah melindungi pendengar itu: identitas sertifikat atau kunci, firewall host, versi paket terkini. Penerusan mengizinkan paket masuk; autentikasi menentukan apakah paket itu menjadi terowongan, dan keduanya adalah dua kegagalan terpisah ketika ada yang salah.

Verifikasi memiliki dua belahan. Jabat tangan harus selesai dari jaringan eksternal, lalu sumber daya privat di belakang server harus menjawab melalui terowongan. Penerusan mengizinkan koneksi terowongan dan tidak lebih; perutean dan otorisasi untuk 10.8.0.0/24 adalah pengaturan lain di layar lain.

Putuskan dengan tiga pertanyaan

Tiga pertanyaan menyelesaikan pilihan lebih cepat daripada tabel perbandingan mana pun:

• Apakah ada sesuatu yang menghubung dari luar sebagai paket pertama? Maka gunakan penerusan, atau relai. Pemicuan tidak dapat terbuka tanpa lalu lintas keluar yang tidak akan pernah ada.
• Haruskah lubang itu bertahan lebih lama dari waktu diam? Maka gunakan penerusan, karena pemetaan yang dipicu menutup sesuai jadwalnya sendiri.
• Apakah alamat WAN itu milik Anda untuk dipublikasikan? Jika bukan, perbaiki lapisan di atasnya sebelum menyunting aturan apa pun.

Jika jawaban ketiganya tidak, yang merupakan kasus laptop yang menghubungi penyedia komersial sendiri, tidak ada aturan yang dibutuhkan. Klien di balik NAT berfungsi karena membuat pemetaan berstatus itu sendiri, dan itu mencakup sebagian besar orang yang membaca halaman penerusan port tengah malam.