Hvaða VPN-gáttum á að opna í eldvegg: samskiptareglur hver fyrir sig
PPTP þarf TCP 1723 auk GRE, L2TP/IPsec þarf UDP 500 og 4500 auk ESP, og SSTP, OpenVPN og WireGuard þurfa eina gátt hvert. Hér er hvað á að opna.
Tvær aðskildar reglur ráða því hvort VPN-göng gangi í gegnum eldvegg: gáttin sem biðlarinn hringir á og samskiptareglan sem flytur farminn. Opnaðu aðeins hina fyrri og gangið auðkennist, en flytur svo engin gögn. Lágmarkið er ein TCP-gátt auk GRE fyrir PPTP, tvær UDP-gáttir auk ESP fyrir L2TP/IPsec og IKEv2, og ein gátt fyrir SSTP, OpenVPN og WireGuard. Stefna, stöðueftirlit og NAT ráða því sem eftir er.
Byrjaðu á gáttinni sem biðlarinn hringir á
Sérhver fjölskylda hefur inngang sem biðlarinn hefur samband við fyrst, og það er inngangurinn sem leyfisreglan þín verður að nefna. PPTP-biðlarar tengjast TCP 1723. L2TP/IPsec hefur IKE á UDP 500 og færir sig yfir á UDP 4500 þegar NAT-gegnumferð er notuð, en L2TP-ramminn sjálfur er á UDP 1701 inni í göngunum. SSTP vefur lotuna í TLS á TCP 443, IKEv2 semur á UDP 500 og 4500, OpenVPN notar UDP 1194 sjálfgefið en er oft fært á TCP 443, og WireGuard hlustar á UDP 51820.
| Family | Rule to add on the gateway | Typical mistake |
|---|---|---|
| WireGuard | UDP port from ListenPort, for the peer address | Assuming 51820 when the config says otherwise |
| OpenVPN | The configured UDP or TCP port, often 443 | Opening 1194 after the server moved |
| SSTP | TCP 443 limited to the gateway IP | Allowing 443 to any destination |
| IKEv2 | UDP 500 and UDP 4500, plus ESP | Allowing only 500 and losing NAT-T |
| L2TP/IPsec | UDP 500, 4500, ESP, and 1701 inside the tunnel | Exposing 1701 to the internet |
| PPTP | TCP 1723 and IP protocol 47 | Writing a rule for TCP 47 |
Líttu á þessar tölur sem sjálfgefin gildi, ekki fasta eiginleika. WireGuard-tengi notar hvaða hlustunargátt sem stillingin tilgreinir, og OpenVPN-þjónn getur setið á hvaða gátt sem stjórnandinn valdi. Lestu stillingu þjónsins áður en þú skrifar regluna, því eldveggur sem opnaður er fyrir 1194 gerir ekkert fyrir þjón sem fluttur var á 443.
Þriðji dálkurinn er þar sem flest breytingarmiðar fara úrskeiðis. Reglan er til, en hún vísar á rangan áfangastað, ranga stefnu eða ranga flutningu.
GRE og ESP eru samskiptanúmer, ekki gáttir
GRE og ESP hafa engar gáttir yfirleitt, svo eldveggjaeyðublað sem tekur aðeins við gáttanúmerum getur ekki lýst þeim. GRE er IP-samskiptaregla 47 og ESP er IP-samskiptaregla 50, báðar bornar saman við samskiptareglusvið IP-haussins. Regla skrifuð sem TCP-gátt 47 passar við ekkert, og þannig virðist PPTP-stefna rétt og sleppir samt hverri pakkningu eftir handabandið.
Neysluleiðir fela þetta bak við gegnumferðarhakk sem setur samskiptaregluna og, fyrir GRE, NAT-aðstoðarmanninn sem þarf til að kortleggja flæðið. Á alvöru eldvegg bætirðu samskiptareglunni sjálfur við: leyfðu IP-samskiptareglu 47 til PPTP-þjónsins, leyfðu IP-samskiptareglu 50 til IPsec-gáttarinnar. Þar sem kerfið býður ekki samskiptareglusvið er hjúpunin útgönguleiðin, þess vegna getur IKEv2 fallið aftur á UDP 4500 og þess vegna lenda OpenVPN og WireGuard aldrei í vandamálinu.
Athugaðu við hvað reglan passar í raun áður en þú kennir biðlaranum um. Pakkningateljari sem stendur á núlli á gáttinni segir að reglan hafi aldrei virkjast, og engin uppsetning að nýju á biðlarahlið breytir því.
Stefna, staða og NAT breyta svarinu
Biðlari sem hringir út og gátt sem hlustar inn eru ólíkar kröfur, og sami gáttalistinn getur verið réttur í aðra stefnu og rangur í hina. Eldveggur með stöðu fylgir UDP-flæðinu á 500 og 4500 og hleypir svörum til baka án annarrar reglu. ESP og GRE bera engar gáttir, svo NAT-tæki hefur ekkert að grípa í og þarf aðstoðarmann eða hjúpun til að fylgja lotunni.
NAT-gegnumferð er sá hluti sem gleymist. IKEv2 byrjar á UDP 500, greinir NAT-tæki og heldur áfram á UDP 4500, svo stefna sem leyfir aðeins 500 gefur göng sem koma sér upp og þagna svo. L2TP/IPsec gerir sömu hreyfingu. Ef upptakan þín sýnir fyrstu skiptin en ekki viðvarandi umferð skaltu leita að reglu sem stöðvast við 500.
Skráðu stefnuna með hverri reglu. „Leyfa UDP 4500“ þýðir ekkert fyrr en þú segir hvaðan hvert, og regla sem er rétt fyrir reikandi biðlara er venjulega röng fyrir jafningja staðar-til-staðar.
Athugaðu hverja leið með upptöku
Keyrðu upptökuna á gáttinni, ekki á biðlaranum: biðlari skráir aðeins það sem barst. Þessir síur ná yfir fjölskyldurnar hér að ofan og sýna hvaða þrep vantar:
sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50Lestu úttakið sem röð. Þegar samningaviðræðurnar birtast en farm-samskiptareglan ekki, verður sleppingin einhvers staðar milli biðlara og gáttar. Þegar báðar birtast og síðan mistekst samt, er eldveggurinn ekki lengur grunaður; skoðaðu leiðsögn, DNS eða netfangið sem biðlarinn fékk.
Á vél án tcpdump koma sömu sönnunargögn frá teljurum tengis og reglna. Bæti sem fara inn en ekki út á göngutenginu benda á bakleiðina frekar en upphaflegu leyfisregluna.
Skildu eftir reglusafn sem þú getur varið
SSTP á TCP 443 er ógreinanlegt frá venjulegu HTTPS fyrir hvaða gáttarbyggða síu sem er, og það er tilgangurinn þegar net leyfir aðeins vefumferð. Þess vegna á 443-reglan að nefna gáttina sem áfangastað í stað alls internetsins. Eyðaðu tímabundnum reglum frá hverju sem er til hvers sem er um leið og göngin virka. Skráðu hvaða regla passaði, samskiptanúmerið þar sem það er og stefnuna, svo næsta manneskja byrji á sönnunargögnum.
Skýjaðar gáttir frá punkti til staðar gera valið sýnilegt: niðurhalaða sniðið notar annaðhvort SSTP á 443 eða IKEv2 á 500 og 4500, og þú ættir aðeins að opna það sem sniðið velur í raun. PPTP er ekki GRE-undanþágunnar virði á nútímaneti, þar sem farsímakerfi sleppa oft samskiptareglu 47 óháð eldveggnum þínum. Áður en þú lokar miðanum skaltu staðfesta að reglan passi við gáttina í stillingu þjónsins, að samskiptareglusviðið sé sett þar sem fjölskyldan þarf á því að halda og að áfangastaðurinn sé gáttin en ekki hvaða netfang sem er.