Бекітілген UDP порттары порт қайта бағыттауын айналып өте алады, бірақ әр NAT емес

Екі үй маршрутизаторы, бірде-бір қайта бағытталған порт жоқ, және кейде бәрібір қосылатын VPN. UDP мұны рұқсат етеді, өйткені брандмауэр машина әлдеқашан бастаған ағынмен сәйкестендіре алатын пакетті қабылдайды. Бұл функция емес, шартты айла, және брандмауэр нені салыстыратынын білгенде шарттарды атау оңай. Бірдей профильдердің әртүрлі желілерде әрқалай әрекет етуінің себебі де осында.

Брандмауэр жасайтын салыстыру

Әрбір шығыс датаграмма қысқа мерзімді жазба жасайды: көздің мекенжайы, көз порты, межелі мекенжай, межелі порт. Жазбаға сәйкес келген кез келген нәрсе жауап ретінде қабылданып, өткізіледі. Кіріс ережелерінің бұған қатысы жоқ.

Сондықтан сұрақ брандмауэрдің серіктесті ішке жіберетінінде емес. Сұрақ серіктестің пакеті жазба күтіп тұрған жауапқа ұқсай ма, жоқ па, соныда. Сол төрт бөлікті кортеждің бір өрісін өзгертсеңіз, пакет бөтен болады. Сондықтан жұмыс істеп тұрған конфигурация тек порт нөмірі өзгергенде бұзылуы мүмкін, және сондықтан бір порт бір маршрутизаторда жұмыс істеп, келесісінде сәтсіздікке ұшырауы мүмкін.

Жергілікті көз портын бекітіңіз, сонда сол нөмір айырбастың екі жағында да көрінеді. Бүкіл механизм осы, және бұл айланың жұмбақ емес, нәзік екенін түсіндіреді.

Әр ұшында бір портты бекіту

OpenVPN-нің әдепкі UDP порты 1194 болып табылады, ал lport оның қай порттан жіберетінін анықтайды. Екі серіктесті де бекітіңіз, сонда әрқайсысының шығыс кортежі екіншісі тыңдап тұрған портты көрсетеді:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Бұл олардың арасындағы ешбір маршрутизатор көз портын қайта жазбағанша жұмыс істейді. Пакеттер түсірілімде көрініп, бірақ туннель көтерілмесе, қайта жазу бірінші күдікті.

Кортеж сәйкестікті тоқтататын жер

Меже бойынша картаға түсіретін NAT әр серіктеске әртүрлі сыртқы порт береді. Серіктесіңізге пайдалану айтылған мекенжай оған жететін мекенжай емес, сондықтан кіріс пакеті ешнәрсеге сәйкес келмейді және үнсіз тасталады.

Оператор деңгейіндегі түрлендіру, қабатталған NAT және порттарды кездейсоқтандыру — барлығы бірдей аяқталады. Мекенжайларды тыныш қалдырып, порттарды қайта жазатын кез келген аралық қорап та солай.

Ағынды көліктердің жағдайы нашар. TCP қол алысуы қадам-қадаммен қадағаланады, сондықтан TCP негізіндегі VPN мұндай жолмен мүлдем тесіле алмайды және жолдың бір жерінде тыңдаушы қажет.

Әдетте бір жақ бірінші сәтсіздікке ұшырайды

Іс жүзінде екі желі сирек бірдей әрекет етеді. Бір маршрутизатор болжамды картаны бере алады, ал екіншісі меже бойынша порттар береді, және нәтиже — екі үй арасында жұмыс істеп, ұялы желіден сәтсіздікке ұшырайтын конфигурация. Бір-біріне қайшы келетін есептер әдетте екі түрлі маршрутизатор жұбын сипаттайды. Ешбір автор қате емес, және ешбір нәтиже жалпыланбайды.

Профильдерге тиіспес бұрын пакетті қай жақ тастағанын анықтаңыз. Екі ұштағы түсірілім мұны бір әрекетте шешеді: A-дан шығып B-ге еш қашан жетпейтін датаграммалар ағын жолда қайта жазылғанын білдіреді, ал B-ге жауапсыз жететін датаграммалар брандмауэр оларды байланысты деп қабылдамағанын білдіреді.

Жалпыға қолжетімді IPv6 мекенжайлары бар екі серіктес бүкіл мәселені айналып өтеді. Түрлендіру жоқ болса, салыстыратын ештеңе жоқ, сондықтан серіктестерді атайтын брандмауэр ережесі жеткілікті және дизайн маршрутизатор мінезінен тәуелді болуды қояды.

Қашан әрекетті тоқтату керек

Жалпыға қолжетімді мекенжайы бар хост — сенімді жауап. Ол екі серіктес үшін туннельді тоқтата алады немесе жай ғана оларға бір-бірінің ағымдағы сыртқы мекенжайын табуға көмектесе алады, және NAT-тар не істесе де екі орналасу да жұмыс істейді. Саясат рұқсат етсе, басқарылатын қабаттасқан желі сол үйлестіруді ұсынады.

Бұлардың ешқайсысы өшірілген брандмауэрді қажет етпейді. Тікелей байланысты ұту үшін қорғанысты өшіру тікелей әрекетті тартымды еткен себепті тастайды және тестің бүкіл ұзақтығында машинаны ашық қалдырады.

Алдымен тікелей орналасуды байқап көріңіз, содан кейін көргеніңізді жазып алыңыз. NAT мінезі және оны көрсеткен түсірілім соңында қолданған порт жұбынан қымбат, өйткені келесі желі басқа болады. OpenVPN 2.6 нұсқаулығы құжаттайды lport және осы тәуелді болатын remote опцияларын.