პორტის ტრიგერი და პორტის გადამისამართება სახლის VPN სერვერისთვის
ტრიგერი ხსნის ასახვას გამავალი ტრაფიკის შემდეგ; გადამისამართება პორტს სამუდამოდ ასახავს. სახლის VPN სერვერს მეორე სჭირდება, რეალურ მსმენელზე შემოფარგლული.
პორტის გადამისამართება და პორტის ტრიგერი ერთსა და იმავე მენიუშია სახლის როუტერების უმეტესობაზე, ამიტომ მათ ერთი საქმის ორ ხერხად განიხილავენ. გადამისამართება სტატიკური წესია: WAN პორტზე შემომავალი კავშირი გარდაიქმნება ფიქსირებულ შიდა მისამართად და პორტად, მიუხედავად იმისა, ხდება სხვა რამ თუ არა. ტრიგერი პირობითია: როუტერი აკვირდება გამავალ ტრაფიკს და შიდა ასახვას მხოლოდ მას შემდეგ ხსნის, რაც შესაბამისი კავშირი გავა. VPN სერვერი ელოდება, რომ ჯერ სხვა დაუკავშირდება, ამიტომ სწორედ ეს პირობაა ის ერთადერთი, რისი შესრულებაც მას არასოდეს შეუძლია.
ორი წესი განსხვავებული სასიცოცხლო ციკლით
IPv4-ის NAT მდგომარეობას ინახავს. როცა შიდა ჰოსტი პაკეტს გარეთ აგზავნის, როუტერი ასახვას ქმნის, რათა პასუხებმა უკანა გზა იპოვონ; შემომავალი პაკეტი, რომელიც არცერთ ასახვას არ ემთხვევა, უგულებელყოფილია, და სწორედ ეს ქცევა აშორებს ინტერნეტს არაგანახლებულ სამუშაო მაგიდას. გადამისამართება ხელით დამატებული მუდმივი თარგმანის ჩანაწერია. ტრიგერი ტრაფიკის შაბლონით დაცული დროებითი ხვრელია.
პრაქტიკული განსხვავება დროა. გადამისამართება არსებობს შენახვის მომენტიდან მანამ, სანამ ვინმე წაშლის. ტრიგერით გახსნილი ასახვა არსებობს ტრიგერის ამოქმედების შემდეგ და იხურება უმოქმედობის ტაიმერით, რომელიც სამომხმარებლო აპარატურაზე წუთებში იზომება, ან დაუყოვნებლივ გადატვირთვისას.
არც ერთი არ არის უფრო უსაფრთხო აბსტრაქტულად. გადამისამართება ერთ პორტს გამუდმებით ამჟღავნებს; ტრიგერი მას მხოლოდ გარკვეული გამავალი ტრაფიკის შემდეგ ამჟღავნებს. სერვისისთვის, რომელმაც უცხოსგან პირველი პაკეტი უნდა მიიღოს, ორიდან მხოლოდ ერთი შეესაბამება საქმეს.
რატომ არ გამოაქვეყნებს ტრიგერი სერვერს
VPN სერვერი კონსტრუქციით პასიურია. მეორე მხარე, იქნება ეს კაფეში ლეპტოპი თუ მობილურ მონაცემებზე მყოფი ტელეფონი, პირველ პაკეტს აგზავნის და როუტერს მისთვის ასახვა არ აქვს. შიგნით ვერაფერმა ვერ დაიწყო ტრაფიკი ტრიგერის პორტზე, ამიტომ წესი არასოდეს ამოქმედდება და კავშირი ხელის ჩამორთმევის დაწყებამდე იღუპება.
სადაც ტრიგერი მუშაობს, იქ ტრიგერის პორტზე ტრაფიკს სხვა რაღაც აწარმოებს: კლიენტი LAN-ში, მონიტორინგის ზონდი, ან თავად სერვერის გამავალი შემოწმებები. მაშინ ასახვა მხოლოდ იმ ერთი ჰოსტისთვის იხსნება და ტრაფიკის შეწყვეტისას იხურება, ამიტომ შემდეგი გარე მხარე კვლავ ვარდება, ხოლო პირველი წარმატება ჟურნალში მტკიცებულებასავით რჩება.
ტრიგერი, როგორც წესი, ერთი ჰოსტისთვისაა. ბევრი იმპლემენტაცია მხოლოდ ერთ შიდა მოწყობილობას აძლევს ასახვის შენარჩუნების უფლებას ერთდროულად, რაც სრულიად არასწორია სერვერისთვის, რომელსაც რამდენიმე მხარეს უნდა უპასუხოს. ეს ფუნქცია შეიქმნა აპლიკაციებისთვის, რომლებიც გარეთ საკონტროლო კავშირს ხსნიან და მეორე პორტზე შიდა მონაცემებს ელოდებიან, და ის დღემდე შეესაბამება ამ ფორმას.
რას ასახავს გადამისამართება სინამდვილეში
გადამისამართება ერთი თარგმანის ჩანაწერია: WAN პორტი და პროტოკოლი შიდა მისამართსა და პორტზე. მას სჭირდება მსმენელი, რომელიც უკვე მუშაობს მეორე მხარეს, და სჭირდება, რომ შიდა მისამართი ადგილზე დარჩეს. DHCP იჯარა, რომელიც სხვა მანქანაზე გადადის, ყოველ გვირაბს ჩუმად არასწორ ჰოსტზე აგზავნის, ამიტომ რეზერვაცია წესამდე შექმენით.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
პროტოკოლს უფრო მეტი მნიშვნელობა აქვს, ვიდრე ფორმა გვაფიქრებინებს. OpenVPN-ს UDP-ზე სჭირდება UDP გადამისამართება, WireGuard-ს სჭირდება UDP, ხოლო IPsec-ის მონაცემები მოდის როგორც ESP, IP პროტოკოლი 50, რომელსაც საერთოდ არ აქვს პორტები. გადამისამართების ის ფორმა, რომელიც მხოლოდ TCP-ს ან UDP-ს იღებს, ვერ გამოხატავს ამას, ამიტომ IPsec-ს პორტის წესის ნაცვლად სჭირდება passthrough ან სტატიკური ერთ-ერთზე ასახვა.
ფენა თქვენი როუტერის ზემოთ
გადამისამართება მართავს მხოლოდ იმ თარგმანს, რომელიც თქვენ გეკუთვნით. თუ WAN მისამართი თქვენი არ არის, რაც ოპერატორის NAT-ის უკან ხდება, სადაც აბონენტები იზიარებენ 100.64.0.0/10-ს, როგორც ეს აღწერილია RFC 6598-ში, შემომავალი კავშირი არასოდეს აღწევს თქვენს როუტერამდე, რადგან პროვაიდერმა პირველმა თარგმნა. თქვენს მოწყობილობაზე არც ერთი წესი ვერ გამოასწორებს ამ თანმიმდევრობას.
ორმაგი NAT იგივე პრობლემაა მცირე მასშტაბით. თქვენი როუტერი გადაამისამართებს ISP-ის როუტერზე, რომელსაც შესაბამისი წესი არ აქვს და პაკეტს ყრის. ან დაამატეთ წესი გარე მოწყობილობაზე, ან გადაიყვანეთ გარე მოწყობილობა ხიდის რეჟიმში და დაე, თქვენმა შეინარჩუნოს საჯარო მისამართი.
ამიტომ ტესტი გარედან უნდა მოვიდეს. იმავე LAN-იდან საჯარო მისამართის გავლით ტესტი დამოკიდებულია hairpin NAT-ის მხარდაჭერაზე და შეიძლება გაიაროს ან ჩავარდეს წესთან დაუკავშირებელი მიზეზებით; ტელეფონი მობილურ მონაცემებზე, ან მეგობარი სხვა ქსელში, უფრო სუფთა შემოწმებაა.
შემოზღუდეთ წესი, შემდეგ შეამოწმეთ ორივე ნახევარი
გადაამისამართეთ ერთი პორტი ერთ მისამართზე. დიაპაზონი, რომელიც იმიტომ დაემატა, რომ პირველი ცდები ჩავარდა, არის გზა, რომლითაც მართვის ინტერფეისები ინტერნეტში ხვდებიან, და VPN-ის მსმენელს გვერდით როუტერის ადმინის გვერდი გამოქვეყნებული არ სჭირდება.
შეინარჩუნეთ ყველაფერი, რაც უკვე იცავდა ამ მსმენელს: სერტიფიკატის ან გასაღების იდენტობა, ჰოსტის ფაირვოლი, პაკეტების მიმდინარე ვერსიები. გადამისამართება პაკეტს შეუშვებს; ავთენტიფიკაცია წყვეტს, გახდება თუ არა პაკეტი გვირაბი, და ეს ორი ცალკე მარცხია, როცა რაღაც ცუდად მიდის.
შემოწმებას ორი ნახევარი აქვს. ხელის ჩამორთმევა უნდა დასრულდეს გარე ქსელიდან, შემდეგ კი სერვერის უკან არსებული კერძო რესურსი უნდა უპასუხოს გვირაბის გავლით. გადამისამართება გვირაბის კავშირს შეუშვებს და მეტს არაფერს; 10.8.0.0/24-ის მარშრუტიზაცია და ავტორიზაცია სხვა ეკრანზე სხვა პარამეტრია.
გადაწყვიტეთ სამი კითხვით
სამი კითხვა არჩევანს უფრო სწრაფად წყვეტს, ვიდრე ნებისმიერი შედარების ცხრილი:
- გარედან რამე პირველ პაკეტად გვეკავშირება? მაშინ გამოიყენეთ გადამისამართება, ან რელე. ტრიგერი ვერ გაიხსნება გამავალი ტრაფიკის გარეშე, რომელიც არასოდეს იარსებებს.
- ხვრელი უნდა გადარჩეს უმოქმედობის დროს? მაშინ გამოიყენეთ გადამისამართება, რადგან ტრიგერით გახსნილი ასახვა თავისი გრაფიკით იხურება.
- WAN მისამართი თქვენია გამოსაქვეყნებლად? თუ არა, რომელიმე წესის რედაქტირებამდე ზედა ფენა გამოასწორეთ.
თუ სამივეს პასუხი არაა, რაც იმ ლეპტოპის შემთხვევაა, რომელიც თავად რეკავს კომერციულ პროვაიდერს, არც ერთი წესი არ არის საჭირო. NAT-ის უკან არსებული კლიენტი მუშაობს, რადგან თავად ქმნის მდგომარეობის მქონე ასახვას, და ეს ფარავს იმ ადამიანთა უმეტესობას, რომლებიც შუაღამისას პორტის გადამისამართების გვერდს კითხულობენ.