VPN á bak við NAT sem þú getur ekki stillt: hvað virkar enn

Hver tunni-endapunktur þarf vistfang og port sem hin hliðin getur náð í, og beinir sem þú stýrir ekki er venjulega ástæðan fyrir því að þessi krafa bregst. Það áhugaverða er ekki að til séu bragð, heldur að hvert þeirra veltur á eiginleika kortlagningartöflu sem þú sérð ekki frá skjáborðinu. Tveir þessara eiginleika ráða næstum öllu: hvernig kortlagning verður til og hvort hún þiggi pakka frá vistfangi sem innri hliðin hefur aldrei haft samband við. Raðaðu umhverfinu eftir þessum eiginleikum og leiðirnar hætta að vera þjóðsaga.

Kortlagningartaflan ræður öllu

Netfangabreyting heldur töflu þar sem innra vistfang og port eru skráð gegn opinberu vistfangi og porti. Svör sem passa við færslu eru þýdd til baka, og pakki sem kemur utan frá án samsvarandi færslu hefur ekkert áfangastað. Þessi eina hegðun skýrir hvers vegna hlustandi á bak við beininn er óaðgengilegur frá internetinu. Hún skýrir líka hvers vegna fyrsti pakkinn í hvora áttina verður að eiga upptök sín inni.

Líttu á töfluna frá hlið beinisins og leiðirnar verða augljósar: annaðhvort býr eitthvað til varanlega færslu, eða býr til tímabundna og heldur henni ferskri, eða umferðin fer aldrei þá leið. Restin af greininni er þessi þrjú tilvik í röð. Ekkert hér veltur á eiginleika frá seljanda umfram það sem taflan skráir.

Hvað fundarþjónustan getur og getur ekki gert

UDP-gatahola notar útleiðarfærsluna sem tímabundna opnun í stað þess að sigra síuna. Báðir jafningjar hafa samband við fundarþjónustu, sem lærir hvern opinberan endapunkt og tilkynnir hinum aðilanum endapunkt hans. Síðan senda báðir hvor að öðrum, og hver útleiðarpakki býr til eða endurnýjar færsluna sem hleypir svarinu inn. Röðin er það sem lætur þetta virka, og röðin er líka það sem gerir það brothætt: jafningi sem sendir áður en hin hliðin hefur búið til færslu sína er einfaldlega hent, á meðan endurtilraun augnabliki síðar heppnast. Þjónustan sjálf ber enga VPN-umferð, svo eina valdið er tímasetningin sem hún samræmir.

Kortlagningarhegðun ræður restinni, og RFC 4787 nefnir þrjú form: óháð endapunkti, háð vistfangi og háð vistfangi og porti. Undir því síðasta breytist portið sem jafningi verður að miða á með hverjum áfangastað, svo spágildi er ekki lengur áreiðanlegt. Þar rekst tæknin á vegg, því netþjónustustigs NAT og ströng fyrirtækjavirkis fjarlægja bæði þá fyrirsjáanleika sem kerfið þarf, og engin fjöldi endurtilrauna færir hann til baka.

Keepalive, endurræsingar og endapunkturinn sem hreyfist

Gataholuð leið er flæði en ekki hlustandi, svo allt sem keyrir ofan á henni verður að þola breytingar. Það verður að halda kortlagningunni lifandi með reglulegri umferð, taka eftir þegar opinberi endapunkturinn hreyfist og koma sér aftur fyrir eftir endurræsingu beinisins eða endurúthlutun vistfangsins. Mesh VPN-vörur setja þessa rökfræði í sitt eigið stjórnplan, á meðan venjulegur netþjónn lætur þér eftir það. Keepalive hjálpar aðeins á meðan sama kortlagning lifir, og þau kosta rafhlöðu á farsímaþjóni, sem er ástæðan fyrir því að árásargjarn bil er ekki ókeypis.

Fartölva sem sefur í klukkustund kemur venjulega aftur á öðrum opinberum endapunkti. Allt sem endurreisir leiðina verður að keyra aftur innan frá, sem setur sömu kröfu aftur á skjáborðið.

Þrjár leiðir fram hjá vantar framsendingu

Fyrsta leiðin biður beininn að búa til færsluna sjálfur, í gegnum UPnP IGD, NAT-PMP eða PCP, þegar eiginleikinn er til og kveiktur. Önnur afhendir umferðina endurvarpi með opinbert vistfang, sem virkar alltaf og kostar alltaf bandvídd auk annars traustmarka. Þriðja snýr stefnunni við: innri hýsingin opnar útleiðartunnil að opinberum netþjóni og allt annað fer inni í honum.

[Peer]
PublicKey = 6yGj3kQ2wVb8sTn1pLx4dRc7hZa9mKf2uYe5oNq0iXw=
Endpoint = relay.corp.internal:51820
PersistentKeepalive = 25
AllowedIPs = 10.44.0.0/24

Endapunktur endurvarps gerir þessi skipti sýnileg í stillingum skjáborðsins, þar sem endapunkturinn er endurvarp en ekki eigið vistfang jafnings. Varanlegt keepalive heldur kortlagningunni heitri og leyfðu forskeytin ráða því hvað skjáborðið má senda yfir hana. Öfugur tunnill frá innri hýsingunni er sama hugmynd með annan eiganda og þarf enga NAT-breytingu yfirhöfuð. Hver þessara þriggja fjarlægir innkomukröfuna án þess að sigra eldvegg sem lokar fyrir óumbeðna umferð að hönnun, því umferðin byrjar samt inni.

Lagaðu leiðina að þeim sem á beininn

Ef þú stýrir beininum er kyrrstæð UDP-framsending auðveldari í endurskoðun en hvaða gataholukerfi sem er og bregst á þann hátt sem þú sérð. Ef ekki, komdu að því hvort seljandinn bjóði endurvarp eða hýsta stjórnplani og hvort stefnan leyfi notkun þess. Ef ekkert er fáanlegt eru eftir öfugur tunnill eða að sætta sig við að endapunkturinn sé óaðgengilegur utan frá. Að skrá hvaða leið þú notaðir skiptir meira máli en það hljómar, því valkostirnir eru mismunandi að því hver getur fylgst með umferðinni og hvað gerist þegar þriðji aðili breytir einhverju.

Taktu eftir hvort leiðin sem þú endaðir á var bein eða í gegnum endurvarp, því þessi eina staðreynd spáir bæði fyrir um seinkun og hegðun við bilun. RFC 4787 er áfram viðmiðið fyrir kortlagningarhegðunina undir öllu þessu, og að lesa kortlagningarhluta þess er fljótlegra en að prófa þrjár leiðir í röð. Töfluna varðar ekki hvaða valkost þú valdir; hún skráir aðeins hvað næsti pakki má gera.