Föst UDP-port geta sleppt framsendingu porta, en ekki hvert NAT

Tveir heimanetbeinar, engir framsendir portar, og VPN sem tengist stundum samt. UDP leyfir það, því eldveggur hleypir inn pakka sem hann getur parað við flæði sem vélin hefur þegar byrjað. Þetta er skilyrt bragð, ekki eiginleiki, og skilyrðin er auðvelt að nefna þegar maður veit hvað eldveggurinn ber saman. Þau eru líka ástæðan fyrir því að eins snið hegða sér öðruvísi á mismunandi netum.

Samanburðurinn sem eldveggur gerir

Sérhver útfarandi dagatramma býr til skammlífa færslu: upprunafang, upprunaport, áfangafang, áfangaport. Allt sem kemur og passar við færsluna er meðhöndlað sem svar og hleypt í gegn. Reglur um innkomandi umferð koma þar ekki við sögu.

Spurningin er því ekki hvort eldveggurinn hleypi jafningjanum inn. Hún er hvort pakki jafningjans líti út eins og svarið sem færslan bíður eftir. Breyttu einu sviði í þeirri fjórþættu og pakkinn verður ókunnugur. Þess vegna getur uppsetning sem virkar brotnað þegar aðeins portnúmerið breytist, og þess vegna getur sama portið virkað á einum beini og mistekist á þeim næsta.

Festu staðbundið upprunaport og sama númerið birtist beggja vegna skiptanna. Það er allt ferlið, og það útskýrir hvers vegna bragðið er brothætt frekar en dularfullt.

Að festa eitt port á hvorum enda

Sjálfgefið UDP-port OpenVPN er 1194, og lport stillir upprunaportið sem það sendir frá. Festu báða jafningjana og útfarandi fjórþætta hvors um sig bendir á port sem hinn hlustar á:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Það virkar aðeins svo lengi sem enginn beinir á milli þeirra endurskrifar upprunaportið. Þegar pakkar birtast í upptöku en engin göng rísa, er endurskrifunin fyrsti grunaði.

Þar sem fjórþættan hættir að passa

NAT sem varpar eftir áfangastað gefur hverjum jafningja annað ytra port. Fangið sem jafningjanum var sagt að nota er ekki fangið sem nær til hans, svo innkomandi pakkinn passar við ekkert og er hent hljóðlaust.

Þýðing á stigi símafyrirtækis, staflað NAT og slembiröðun porta enda allar eins. Svo gerir hvaða millibox sem endurskrifar port en lætur föngin í friði.

Streymisflutningar eru verr settir. TCP handaband er rakið skref fyrir skref, svo VPN byggt á TCP er alls ekki hægt að gata svona og þarf hlustanda einhvers staðar á leiðinni.

Önnur hliðin bregst yfirleitt fyrst

Í reynd hegða netin tvö sér sjaldan eins. Einn beinir getur gefið fyrirsjáanlega vörpun á meðan hinn gefur port eftir áfangastað, og útkoman er uppsetning sem virkar milli tveggja heimila og bregst frá farsímaneti. Skýrslur sem stangast á lýsa yfirleitt tveimur mismunandi beinapörum. Enginn höfundur hefur rangt fyrir sér, og hvorug niðurstöðurnar er alhæfanleg.

Finndu út hvor hliðin sleppti pakkanum áður en þú snertir sniðin. Upptökur á báðum endum leysa það í einni tilraun: dagatrammur sem fara frá A og ná aldrei B þýða að flæðið var endurskrifað á leiðinni, en dagatrammur sem koma til B án þess að svar komi til baka þýða að eldveggurinn tók þau ekki sem tengd.

Tveir jafningar með opinber IPv6 föng komast hjá öllu vandamálinu. Án þýðingar er ekkert að para, svo regla í eldvegg sem nefnir jafningjana nægir og hönnunin hættir að velta á hegðun beinis.

Hvenær á að hætta að reyna

Hýsill með opinbert fang er áreiðanlega svarið. Hann getur lokað göngunum fyrir báða jafningjana, eða einfaldlega hjálpað þeim að finna núverandi ytra fang hvors annars, og báðar ráðstafanir virka hvað sem NAT gerir. Stýrð yfirlögn veitir sömu samhæfingu ef stefna leyfir.

Ekkert þessara þarf óvirkan eldvegg. Að slökkva á vernd til að vinna beinu tenginguna hendir ástæðunni fyrir því að beina tilraunin var aðlaðandi, og skilur vélina eftir opna alla prófunina.

Prófaðu beinu ráðstöfunina fyrst og skrifaðu svo niður það sem þú sást. Hegðun NAT og upptakan sem sýndi hana eru meira virði en port parið sem þú endaðir með að nota, því næsta net verður öðruvísi. handbók OpenVPN 2.6 skjalfestir lport og remote valkostina sem þetta byggir á.