Upprunaporthur biðlarans gegn hlustara þjónsins í VPN-flæði
Berðu saman porthúsin tvö í einum göngum: fastan hlustara þjónsins og skammtíma uppruna biðlarans, og hvernig þýðing beinisins stendur á milli.
Tvær tölur birtast í sama samtali og hvorug er röng. Þjónsloggið sýnir hlustarann sem býður þjónustuna, fartölvan sýnir sokkinn sem sendi gagnagreinið, og beini á milli getur endurskrifað hina seinni á leið út. Gagnlegra er að bera saman enda samtalanna en tölustafina sjálfa. Samanburðurinn hér fyrir neðan heldur hlustaranum, sokki biðlarans og þýdda upprunanum aðskildum, því þeir svara mismunandi spurningum.
Tvær tölur sem lýsa gagnstæðum endum
Skilgreindur porthur þjónsins er áfangastaðurinn sem biðlarinn hringir í. Hann er festur af stefnu, birtist í sniðinu og verður að vera opinn á þjónshliðinni. Upprunaporthur biðlarans er valinn á staðnum, venjulega úr skammtímasviðinu, og er til svo að svarið eigi hvar að lenda. Hann getur breyst við hverja endurtengingu, og ekkert í hönnuninni reiðir sig á að hann haldist stöðugur.
Beini á milli getur endurskrifað þennan uppruna í sína eigin 'NAT'-vörpun. Þess vegna hefur talan sem sést á þjóninum oft engin tengsl við þá sem fartölvan valdi.
Hvar upprunatalan breytist á leið út
Tak tu uppdiktað IPv4-dæmi: biðlari bak við beini sem þýðir, þjónn með einum 'UDP'-hlustara og eitt gagnagrein sem fer í gegnum bæði. Taflan nefnir hvern enda og hvað verður um hann, í stað þess að spila pakkann aftur á þremur athugunarpunktum.
| Endpoint | What stays fixed | What changes on reconnect | Who owns it |
|---|---|---|---|
| Server listener | The service port and the address the profile names | Nothing; the listener does not follow the client | The server operator |
| Client socket | The destination it dials | The local source port, chosen per socket | The client, or its operating system |
| Translated source | Usually the public address of the router | The port, and sometimes the address after a network switch | The NAT device or the upstream carrier |
Áfangastaðurinn er stöðugur í hverri línu og aðeins auðkenni upprunans breytist. Kröfur UDP NAT greina á milli innra vistfangs og ports og ytri vörpunar, sem er einmitt bilið milli annarrar og þriðju línu. Beini getur varðveitt upprunaporth biðlarans eða valið annan; varðveisla er ekki eitthvað sem forrit á að gera ráð fyrir.
Lestu endana þrjá af hýslunum sjálfum
Listarnir hér fyrir neðan koma frá þremur mismunandi vélum og sýna saman allt samtalið. Keyrðu fyrsta á þjóninum, annan á biðlaranum og þriðja hvar sem vörpunin er til. Ein logglína sýnir aldrei alla þrjá.
ss -lunp 'sport = :1194'
ss -unp | grep 1194
conntrack -L -p udp | grep 1194Fyrsti listinn sannar að þjónninn er bundinn við þjónustuporthinn og sýnir hvaða ferli á hann. Annar sýnir staðbundinn sokk biðlarans og áfangastaðinn sem hann hringdi í. Þriðji sýnir vörpunina sem beininn bjó til, og það er eini staðurinn þar sem þýddi uppruninn birtist. Lestu þá í þessari röð og tölurnar tvær hætta að virðast mótsagnakenndar.
Hvað endurtenging breytir og hvað ekki
Sumir beinar varðveita upprunaporth biðlarans þegar hann er laus, aðrir úthluta öðrum í hvert skipti. Báðar hegðanir eru eðlilegar, og forrit sem krefst þeirrar fyrri mun brotna á þeirri seinni. Breyting á vörpun eftir endurtengingu eða netvíxl er ekki þjónsgalli: biðlarinn opnar nýjan sokk, beininn úthlutar því sem hann hefur, og þjónninn sér nýjan uppruna á sama hlustaranum. Galli væri að ætlast til að þjónninn samþykkti umferð sem beint er að handahófskenndum biðlaraporthi.
Biðlarar OpenVPN í samfélaginu fá þessa hegðan í gegnum nobind, sem leyfir stýrikerfinu að velja staðbundna porthið; fjarlæga porthið kemur enn úr sniðinu. Skýr binding er viljandi val, ekki krafa samskiptareglna. Þjónninn heldur áfram að bjóða einn enda á meðan biðlarar velja sín eigin staðbundnu auðkenni.
Merktu lögin sérstaklega í skránni
Inni í göngunum er annað samtal með eigin porthum. HTTPS-beiðni sem göngin bera á áfangastaðinn TCP 443, en ytri dulrituðu tengingin notar UDP 1194, þannig að breyting á ytri upprunaporthi breytir engu um innri þjónustuna.
Jafnvel á ytra laginu skiptir samskiptareglan máli. UDP 1194 og TCP 1194 eru mismunandi endar, og 'TCP'-hlustari fær aldrei UDP-gagnagrein bara af því að talan passar. Þegar þú skjalfestir uppsetningu skaltu merkja hlustara þjónsins, sokk biðlarans og þýdda upprunann sem þrjá aðskilda hluti og bæta flutningnum við hvern þeirra.
Leyfðu þá stefnunni að fylgja hlutverkunum. Þjónninn opnar fyrirhugaða flutninginn á hlustaranum sínum og staðfestir enn jafningjann; eldveggur biðlarans hleypir svörum við eigin útleiðs skiptum án þess að birta innkomna þjónustu. Ástandslaust sía þarf afturábekka stefnuna skrifaða skýrt, og það er hagnýta ástæðan fyrir því að greiningin skiptir máli út fyrir snyrtileg skýringarmyndir.