Kveikjan port á móti framsendingu ports fyrir VPN-þjón á heimilinu
Kveikja opnar vörpun eftir útleiðandi umferð; framsending varpar portinu til frambúðar. VPN-þjónn á heimilinu þarf hið síðara, afmarkað við raunverulega hlustandann.
Framsending port og kveikja port eru í sama valmynd á flestum heima-routerum, og þess vegna eru þau meðhöndluð sem tvær leiðir til að gera eitt verk. Framsending er stöðug regla: tenging inn á WAN-port er þýdd yfir á fast innra vistfang og port, hvort sem eitthvað annað er að gerast eða ekki. Kveikja er skilyrt: routerinn fylgist með útleiðandi umferð og opnar vörpun inn aðeins eftir að samsvarandi tenging fer út. VPN-þjónn bíður eftir að einhver annar tengist fyrst, svo það skilyrði er einmitt það eina sem hann getur aldrei uppfyllt.
Tvær reglur með ólíkum lífsferli
IPv4 NAT heldur stöðu. Þegar innri hýsill sendir pakka út býr routerinn til vörpun svo svörin finni leið til baka; pakki inn sem passar við enga vörpun er hent, og sú hegðun heldur óuppfærðri skjáborðstölvu utan internetsins. Framsending er varanleg þýðingarfærsla sem bætt er við handvirkt. Kveikja er tímabundið gat sem umferðarmynstur gætir.
Hagnýtur munur er tími. Framsending er til frá því augnabliki sem hún er vistuð þar til einhver eyðir henni. Kveikt vörpun er til eftir að kveikjan fer í gang og lokast á aðgerðarleysistíma, mældum í mínútum á neytandabúnaði, eða strax við endurræsingu.
Hvort tveggja er öruggara í abstraktum skilningi. Framsending afhjúpar eitt port stöðugt; kveikja afhjúpar það aðeins eftir ákveðna útleiðandi umferð. Fyrir þjónustu sem verður að taka við fyrsta pakkanum frá ókunnugum passar aðeins önnur þeirra við verkið.
Hvers vegna kveikja birtir ekki þjón
VPN-þjónn er óvirkur af eðli sínu. Jafninginn, hvort sem það er fartölva á kaffihúsi eða sími á farsímagögnum, sendir fyrsta pakkann og routerinn hefur enga vörpun fyrir hann. Ekkert inni hóf umferð á kveikjuportið, svo reglan fer aldrei í gang og tengingin deyr áður en handabandið byrjar.
Þar sem kveikja virðist virka er eitthvað annað að búa til umferð á kveikjuportinu: biðlari á LAN, eftirlitsmælir eða eigin útleiðandi prófanir þjónsins. Vörpunin opnast þá fyrir þennan eina hýsil og lokast þegar umferðin stöðvast, svo næsti ytri jafningi mistekst aftur á meðan fyrsta velgengnin situr í annálnum og lítur út eins og sönnun.
Kveikja er líka venjulega fyrir einn hýsil. Margar útfærslur leyfa aðeins einu innra tæki að halda vörpuninni í einu, sem er einmitt rangt fyrir þjón sem á að svara nokkrum jafningjum. Eiginleikinn var byggður fyrir forrit sem opna stjórntengingu út og búast við innleiðandi gögnum á öðru porti, og hann passar enn við það form.
Hvað framsending varpar í raun
Framsending er ein þýðingarfærsla: WAN-port og samskiptaregla yfir á innra vistfang og port. Hún þarf hlustanda sem er þegar í gangi hinum megin, og hún þarf að innra vistfangið standi kyrrt. DHCP-lán sem flyst á aðra vél sendir hverja göng yfir á rangan hýsil, hljóðlaust, svo búðu til ráðstöfunina fyrir regluna.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
Samskiptareglan skiptir meira máli en formið gefur til kynna. OpenVPN yfir UDP þarf UDP-framsendingu, WireGuard þarf UDP, og IPsec-gögn koma sem ESP, IP-samskiptaregla 50, sem hefur engin port yfirhöfuð. Framsendingarform sem tekur aðeins við TCP eða UDP getur ekki lýst þessu, svo IPsec þarf passthrough eða stöðuga einn-á-einn vörpun í stað portreglu.
Lagið fyrir ofan routerinn þinn
Framsending stjórnar aðeins þeirri þýðingu sem þú átt. Ef WAN-vistfangið er ekki þitt, sem er raunin bak við NAT símafyrirtækis þar sem áskrifendur deila 100.64.0.0/10 eins og lýst er í RFC 6598, nær tengingin inn aldrei að routernum þínum því þjónustuveitandinn þýddi fyrst. Engin regla á tækinu þínu getur lagað þá röð.
Tvöfaldur NAT er sama vandamál í smækkaðri mynd. Routerinn þinn framsendir á router internetsþjónustunnar, sem hefur enga samsvarandi reglu og hendir pakkanum. Annaðhvort bætirðu reglunni við á ytra tækið, eða setur ytra tækið í brúarham og lætur þitt halda opinbera vistfanginu.
Þess vegna verður prófið að koma að utan. Próf úr sama LAN í gegnum opinbera vistfangið fer eftir stuðningi við hairpin NAT og getur staðist eða mistekist af ástæðum sem tengjast reglunni ekki; sími á farsímagögnum, eða vinur á öðru neti, er hreinni prófunin.
Afmarkaðu regluna og sannreynið svo báða helminga
Framsendu eitt port á eitt vistfang. Svið sem var bætt við af því fyrstu tilraunir mistókust er leiðin sem stjórnviðmót enda á internetinu, og VPN-hlustandinn þarf ekki stjórnborð routersins birt við hliðina.
Haltu öllu sem var þegar að verja þann hlustanda: auðkenni skírteinis eða lykils, eldvegg hýsilsins, núverandi útgáfur pakka. Framsending hleypir pakka inn; auðkenning ákveður hvort pakkinn verði að göngum, og það eru tvö aðskilin bilanir þegar eitthvað fer úrskeiðis.
Sannreyningin hefur tvo helminga. Handabandið verður að klárast frá ytra neti, og þá verður einkaaðfang bak við þjóninn að svara í gegnum göngin. Framsending hleypir tengingu ganganna inn og engu meiru; leiðsögn og heimild fyrir 10.8.0.0/24 er önnur stilling á öðrum skjá.
Ákveddu með þremur spurningum
Þrjár spurningar leysa valið hraðar en hvaða samanburðartafla sem er:
- Tengist eitthvað að utan sem fyrsti pakkinn? Notaðu þá framsendingu, eða endasendingu. Kveikja getur ekki opnast án útleiðandi umferðar sem mun aldrei verða til.
- Verður gatið að lifa aðgerðarleysistímann af? Notaðu þá framsendingu, því kveikt vörpun lokast samkvæmt eigin áætlun.
- Er WAN-vistfangið þitt til að birta? Ef ekki, lagaðu lagið fyrir ofan áður en þú breytir einhverri reglu.
Ef svarið við öllum þremur er nei, sem er raunin fyrir fartölvu sem hringir sjálf í verslunarþjónustu, þarf enga af reglunum. Biðlari bak við NAT virkar því hann býr sjálfur til stöðuvörpunina, og það nær yfir flest þeirra sem lesa síðu um framsendingu ports á miðnætti.