Үй VPN сервері үшін порт триггері және портты қайта бағыттау
Триггер шығыс трафигінен кейін салыстыруды ашады; қайта бағыттау портты біржола салыстырады. Үй VPN серверіне екіншісі керек, нақты тыңдаушыға шектелген.
Портты қайта бағыттау және порт триггері көптеген үй маршрутизаторларында бір мәзірде тұрады, сондықтан оларды бір жұмыстың екі тәсілі ретінде қарастырады. Қайта бағыттау — статикалық ереже: WAN портына келетін кіріс қосылысы тіркелген ішкі мекенжай мен портқа түрлендіріледі, басқа бірдеңе болып жатса да, жатпаса да. Триггер шартты: маршрутизатор шығыс трафигін бақылайды және сәйкес қосылыс сыртқа шыққаннан кейін ғана кіріс салыстыруын ашады. VPN сервері алдымен басқа біреудің қосылуын күтеді, сондықтан дәл осы шарт оның ешқашан орындай алмайтын жалғыз нәрсесі.
Өмірлік циклдері әртүрлі екі ереже
IPv4 NAT күйді сақтайды. Ішкі хост пакетті сыртқа жібергенде, маршрутизатор салыстыру жасайды, сонда жауаптар қайтар жолды табады; ешқандай салыстыруға сәйкес келмейтін кіріс пакеті тасталады, және дәл осы мінез-құлық жаңартылмаған жұмыс үстелін интернеттен тыс ұстайды. Қайта бағыттау — қолмен қосылған тұрақты түрлендіру жазбасы. Триггер — трафик үлгісімен күзетілетін уақытша саңылау.
Практикалық айырмашылық — уақыт. Қайта бағыттау сақталған сәттен бастап біреу оны жойғанша болады. Триггерленген салыстыру триггер іске қосылғаннан кейін болады және бос тұру таймерімен жабылады, ол тұтынушылық аппаратта минутпен өлшенеді, немесе қайта жүктеу кезінде бірден.
Екеуі де абстракцияда қауіпсіздеу емес. Қайта бағыттау бір портты үздіксіз ашады; триггер оны тек белгілі бір шығыс трафигінен кейін ашады. Бейтаныс адамнан бірінші пакетті қабылдауға тиіс қызмет үшін екеуінің тек біреуі ғана жұмысқа сай келеді.
Неге триггер серверді жарияламайды
VPN сервері табиғаты бойынша пассивті. Серіктес, кафедегі ноутбук пе, мобильді деректердегі телефон ба, бірінші пакетті жібереді, ал маршрутизаторда оған арналған салыстыру жоқ. Ішінде ешнәрсе триггер портына трафик бастаған жоқ, сондықтан ереже ешқашан іске қосылмайды және байланыс қол алысу басталғанға дейін өледі.
Триггер жұмыс істеп тұрғандай көрінетін жерлерде триггер портында трафикті басқа бірдеңе жасайды: LAN-дағы клиент, мониторинг зонды немесе сервердің өз шығыс тексерулері. Сонда салыстыру сол бір хост үшін ашылып, трафик тоқтағанда жабылады, сондықтан келесі сыртқы серіктес қайта сәтсіз болады, ал бірінші табыс журналда дәлел болып көрінеді.
Триггер әдетте бір хостқа арналған. Көптеген іске асырулар бір уақытта тек бір ішкі құрылғыға салыстыруды ұстауға рұқсат етеді, бұл бірнеше серіктеске жауап беруі керек сервер үшін мүлдем дұрыс емес. Функция сыртқа бақылау қосылысын ашатын және екінші портта кіріс деректерін күтетін қолданбалар үшін жасалған, және ол әлі де сол пішінге сай келеді.
Қайта бағыттау шын мәнінде нені салыстырады
Қайта бағыттау — бір түрлендіру жазбасы: WAN порты мен хаттамасы ішкі мекенжай мен портқа. Ол екінші шетінде әлдеқашан жұмыс істеп тұрған тыңдаушыны қажет етеді және ішкі мекенжайдың орнында қалуын қажет етеді. Басқа машинаға көшкен DHCP жалдауы әр туннельді дұрыс емес хостқа үнсіз жібереді, сондықтан ережеден бұрын резервтеуді жасаңыз.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
Хаттама пішін меңзегеннен де маңызды. UDP үстіндегі OpenVPN UDP қайта бағыттауды қажет етеді, WireGuard UDP қажет етеді, ал IPsec деректері ESP ретінде, IP хаттамасы 50 келеді, онда мүлдем порт жоқ. Тек TCP немесе UDP қабылдайтын қайта бағыттау пішіні мұны білдіре алмайды, сондықтан IPsec порт ережесінің орнына passthrough немесе статикалық бір-бірге салыстыруды қажет етеді.
Маршрутизаторыңыздың үстіндегі қабат
Қайта бағыттау тек өзіңізге тиесілі түрлендіруді басқарады. Егер WAN мекенжайы сіздікі болмаса, бұл оператор NAT-ының артындағы жағдай, мұнда абоненттер 100.64.0.0/10-ды бөліседі, RFC 6598 сипатталғандай, кіріс қосылыс сіздің маршрутизаторыңызға ешқашан жетпейді, өйткені провайдер бірінші болып түрлендірді. Сіздің құрылғыңыздағы ешбір ереже бұл тәртіпті түзете алмайды.
Қос NAT — сол мәселенің кіші көшірмесі. Сіздің маршрутизаторыңыз ISP маршрутизаторына бағыттайды, онда сәйкес ереже жоқ және ол пакетті тастайды. Немесе ережені сыртқы құрылғыға қосыңыз, немесе сыртқы құрылғыны көпір режиміне қойып, өзіңіздікіне жария мекенжайды ұстауға рұқсат етіңіз.
Сондықтан тест сырттан келуі керек. Жария мекенжай арқылы сол LAN-нан жасалған тест hairpin NAT қолдауына тәуелді және ережеге қатысы жоқ себептермен өтуі немесе сәтсіз болуы мүмкін; мобильді деректердегі телефон немесе басқа желідегі дос — тазарақ тексеру.
Ережені шектеңіз, содан кейін екі жартысын тексеріңіз
Бір портты бір мекенжайға бағыттаңыз. Алғашқы әрекеттер сәтсіз болғандықтан қосылған ауқым — басқару интерфейстерінің интернетке шығу жолы, ал VPN тыңдаушысына өзінің қасында маршрутизатордың әкімші беті жариялануы қажет емес.
Сол тыңдаушыны бұрын қорғағанның бәрін сақтаңыз: сертификат немесе кілт бойынша сәйкестік, хосттың брандмауэры, пакеттердің ағымдағы нұсқалары. Қайта бағыттау пакетті кіргізеді; аутентификация пакеттің туннельге айналатынын шешеді, және бірдеңе дұрыс болмағанда бұл екі бөлек сәтсіздік.
Тексерудің екі жартысы бар. Қол алысу сыртқы желіден аяқталуы керек, содан кейін сервердің артындағы жеке ресурс туннель арқылы жауап беруі керек. Қайта бағыттау туннель қосылысын кіргізеді, одан артық емес; 10.8.0.0/24 үшін маршруттау мен авторизация — басқа экрандағы басқа параметр.
Үш сұрақпен шешіңіз
Үш сұрақ таңдауды кез келген салыстыру кестесінен жылдамырақ шешеді:
- Сырттан бірдеңе бірінші пакет ретінде қосыла ма? Онда қайта бағыттауды немесе релелі пайдаланыңыз. Триггер ешқашан болмайтын шығыс трафигінсіз ашылмайды.
- Саңылау бос тұру уақытынан ұзақ өмір сүруі керек пе? Онда қайта бағыттауды пайдаланыңыз, өйткені триггерленген салыстыру өз кестесімен жабылады.
- WAN мекенжайы жариялау үшін сіздікі ме? Егер олай болмаса, кез келген ережені өңдеуден бұрын жоғарғы қабатты түзетіңіз.
Егер үшеуіне де жауап жоқ болса, бұл коммерциялық провайдерге өзі қоңырау шалатын ноутбук жағдайы, екі ереженің ешбіреуі қажет емес. NAT артындағы клиент жұмыс істейді, өйткені күй сақтайтын салыстыруды өзі жасайды, және бұл түн ортасында портты қайта бағыттау бетін оқитын адамдардың көбін қамтиды.