ಅಪ್ಸ್ಟ್ರೀಮ್ ರೌಟರ್ ನಿಜವಾಗಿಯೂ ಒಳಬರುವ VPN ಪೋರ್ಟ್‌ಗಳನ್ನು ತಲುಪಿಸುತ್ತದೆಯೇ?

ಲ್ಯಾಬ್ ರೌಟರ್‌ನಲ್ಲಿ ಪೋರ್ಟ್ ಫಾರ್ವರ್ಡ್ ಏನನ್ನಾದರೂ ಪ್ರಕಟಿಸುತ್ತದೆಯೇ ಎಂಬುದನ್ನು ಮೂರು ಷರತ್ತುಗಳು ನಿರ್ಧರಿಸುತ್ತವೆ: ಅಪ್ಸ್ಟ್ರೀಮ್ ಎಡ್ಜ್ ಏನನ್ನು ತಲುಪಿಸುತ್ತದೆ, ಯಾವ ನೀತಿಯನ್ನು ಅನ್ವಯಿಸುತ್ತದೆ ಮತ್ತು ಉತ್ತರಗಳು ಅದೇ ಮಾರ್ಗದಲ್ಲಿ ಹಿಂತಿರುಗುತ್ತವೆಯೇ. ಸಾರ್ವಜನಿಕವಾಗಿ ಕಾಣುವ ವಿಳಾಸವು ಅವುಗಳಲ್ಲಿ ಯಾವುದಕ್ಕೂ ಉತ್ತರಿಸುವುದಿಲ್ಲ. /30 ಪ್ರಿಫಿಕ್ಸ್ ಅಥವಾ ಕೆಲಸ ಮಾಡುವ ಹೊರಹೋಗುವ ಸಂಪರ್ಕವೂ ಅಲ್ಲ. NAT ಬದಲಾಯಿಸುವ ಮೊದಲು ಆ ಷರತ್ತುಗಳನ್ನು ಜೋಡಿಸಿ, ಇಲ್ಲದಿದ್ದರೆ ಬ್ಲಾಕ್ ಎರಡು ಹಾಪ್ ದೂರದಲ್ಲಿರುವಾಗ ಸ್ಥಳೀಯ ನಿಯಮ ಮುರಿದಂತೆ ಕಾಣುತ್ತದೆ.

ಮೂರು ಉತ್ತರಗಳು ನೀವು ಯಾರಿಗೆ ಎಸ್ಕಲೇಟ್ ಮಾಡುತ್ತೀರಿ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ

ಅಪ್ಸ್ಟ್ರೀಮ್ ಮಾಲೀಕರು ಹಸ್ತಾಂತರವನ್ನು ಮೂರರಲ್ಲಿ ಒಂದು ರೀತಿಯಲ್ಲಿ ವಿವರಿಸಬಹುದು. ಗಮ್ಯಸ್ಥಾನವು ನೇರವಾಗಿ ನಿಮ್ಮ ಇಂಟರ್ಫೇಸ್‌ಗೆ ತಲುಪಿಸಲ್ಪಡುತ್ತದೆ, ಪ್ರತ್ಯೇಕ ಪ್ರಿಫಿಕ್ಸ್ ನಿಮ್ಮ ಮುಂದಿನ ಹಾಪ್‌ಗೆ ರೂಟ್ ಆಗುತ್ತದೆ, ಅಥವಾ ಮುಂದೆ ಏನೋ ವಿಳಾಸವು ನಿಮ್ಮನ್ನು ತಲುಪುವ ಮೊದಲು ಅನುವಾದಿಸುತ್ತದೆ. ಪ್ರತಿ ಉತ್ತರವು ಒಳಬರುವ ಸಂಪರ್ಕವನ್ನು ಅನುಮತಿಸಬೇಕಾದ ಬೇರೆ ಸಾಧನವನ್ನು ಮತ್ತು ಹಾಗೆ ನಡೆಯದಿದ್ದಾಗ ಕರೆಯಬೇಕಾದ ಬೇರೆ ತಂಡವನ್ನು ಹೆಸರಿಸುತ್ತದೆ.

ಫಿಲ್ಟರಿಂಗ್ ನಾಲ್ಕನೇ ಚರ ಮತ್ತು ಅದು ಮೂರೂದರಿಂದ ಸ್ವತಂತ್ರವಾಗಿದೆ. ನೆಟ್‌ವರ್ಕ್ ತನ್ನ ಸಾರ್ವಜನಿಕ ವಿಳಾಸವನ್ನು ಉಳಿಸಿಕೊಳ್ಳುವ ಸಂಚಾರವನ್ನು ಫಿಲ್ಟರ್ ಮಾಡಬಹುದು, ಮತ್ತು ಅನುವಾದಕವು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ನೀತಿಯ ಗಡಿಯಲ್ಲ. ಅನುಮತಿಸಲಾದ ಮೂಲ ವಿಳಾಸಗಳು, ಸಾರಿಗೆಗಳು ಮತ್ತು ಪೋರ್ಟ್‌ಗಳ ಬಗ್ಗೆ ವಿತರಣೆಯೊಂದಿಗೆ ಅದೇ ಸಮಯದಲ್ಲಿ ಕೇಳಿ, ಏಕೆಂದರೆ ಎಡ್ಜ್ ಬಿಡುವ ಫಾರ್ವರ್ಡ್ ಮಾಡಿದ ಪೋರ್ಟ್ ಎಂದಿಗೂ ನಿಮ್ಮ ನಿಯಮವನ್ನು ತಲುಪುವುದಿಲ್ಲ.

ಹಸ್ತಾಂತರವನ್ನು ಸೇವಾ ಒಪ್ಪಂದವಾಗಿ ಓದಿ

ಲ್ಯಾಬ್ ರೌಟರ್ ಅನ್ನು ಸ್ಪರ್ಶಿಸುವ ಮೊದಲು ಐದು ಮೌಲ್ಯಗಳನ್ನು ಬರೆಯಿರಿ: ನಿಗದಿಪಡಿಸಿದ ಇಂಟರ್ಫೇಸ್ ವಿಳಾಸ, ಪ್ರಿಫಿಕ್ಸ್ ಉದ್ದ, ಮುಂದಿನ ಹಾಪ್, ಬಾಹ್ಯ ಕ್ಲೈಂಟ್‌ಗಳು ಬಳಸುವ ಗಮ್ಯಸ್ಥಾನ ವಿಳಾಸ, ಮತ್ತು ನಿಖರವಾದ ಪ್ರೋಟೋಕಾಲ್ ಮತ್ತು ಪೋರ್ಟ್. ಆಸಕ್ತಿದಾಯಕವಾದದ್ದು ಗಮ್ಯಸ್ಥಾನ, ಏಕೆಂದರೆ ಅದು ನಿಮ್ಮ ಸಾಧನದಲ್ಲಿ ಸಂರಚಿಸಲಾದ ವಿಳಾಸವೇ ಆಗದಿರಬಹುದು. ಅಪ್ಸ್ಟ್ರೀಮ್ ಕ್ಲೈಂಟ್‌ಗಳು ಅನುವಾದಿತ ವಿಳಾಸವನ್ನು ತಲುಪುತ್ತಾರೆ ಎಂದು ನೀರೀಕ್ಷಿಸಿದರೆ, ಸ್ಥಳೀಯ DNAT ಆ ಒಪ್ಪಂದಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗಬೇಕು, ನೀವು ನೋಡುವ ಇಂಟರ್ಫೇಸ್ ವಿಳಾಸಕ್ಕಲ್ಲ.

IETF ನ ಫೈರ್ವಾಲ್ ವರ್ತನೆಯ ಚರ್ಚೆ ಫಿಲ್ಟರಿಂಗ್ ಮತ್ತು ಅನುವಾದವು ಪ್ರತ್ಯೇಕ ಕಾರ್ಯಗಳು ಎಂಬುದನ್ನು ನೆನಪಿಸುತ್ತದೆ. ರೌಟರ್ ವಿಳಾಸಗಳನ್ನು ಮರೆಮಾಡದೆ ಒಳಹರಿವಿನ ನೀತಿಯನ್ನು ಹೇಗೆ ಜಾರಿಗೊಳಿಸಬಹುದು, ಮತ್ತು ಎಲ್ಲೋ ಮೇಲೆ NAT ಇರುವುದು ಫಿಲ್ಟರಿಂಗ್ ಅಲ್ಲಿಯೇ ನಡೆಯುತ್ತದೆ ಎಂದು ಏಕೆ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ ಎಂಬುದನ್ನು ಅದು ವಿವರಿಸುತ್ತದೆ. ಹಸ್ತಾಂತರವನ್ನು ಮಾಲೀಕ ಮತ್ತು ಬದಲಾವಣೆ ಪ್ರಕ್ರಿಯೆಯೊಂದಿಗೆ ಸೇವಾ ವಿವರಣೆಯಾಗಿ ಪರಿಗಣಿಸಿ.

ಎರಡೂ ಗಡಿಗಳಲ್ಲಿ ಒಂದು ಪ್ರಯತ್ನವನ್ನು ಗಮನಿಸಿ

ಎರಡು ಹಂತಗಳಲ್ಲಿ ಪರಸ್ಪರ ಸಂಬಂಧಿಸಿದ ಒಂದು ಸಂಕುಚಿತ, ಅನುಮೋದಿತ ಪ್ರಯತ್ನವು ಊಹೆಗಳ ರಾಶಿಯನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ. ನಿಖರವಾದ ಟ್ಯೂಪಲ್‌ಗಾಗಿ ಲ್ಯಾಬ್‌ನ WAN ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ ಕ್ಯಾಪ್ಚರ್ ನಡೆಸಿ, ಮತ್ತು ಅಪ್ಸ್ಟ್ರೀಮ್ ಮಾಲೀಕರನ್ನು ಎಡ್ಜ್‌ನಲ್ಲಿ ಅದೇ ಟ್ಯೂಪಲ್ ಅನ್ನು ಗಮನಿಸಲು ಕೇಳಿ. ಗಮ್ಯಸ್ಥಾನ, ಪ್ರೋಟೋಕಾಲ್, ಪೋರ್ಟ್, ಮೂಲ ಮತ್ತು ಸಮಯಮುದ್ರೆಯನ್ನು ಎರಡು ನೋಟಗಳ ನಡುವೆ ಒಂದೇ ರೀತಿ ಇರಿಸಿ.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

ಫಲಿತಾಂಶಗಳ ಜೋಡಿಯನ್ನು ನಿರ್ಧಾರವಾಗಿ ಓದಿ. ಎಡ್ಜ್‌ನಲ್ಲಿ ಕಂಡದ್ದು ಮತ್ತು ಲ್ಯಾಬ್ WAN ನಲ್ಲಿ ಕಂಡದ್ದು ಎಂದರೆ ವಿತರಣೆ ಮತ್ತು ಎಡ್ಜ್ ನೀತಿ ಎರಡೂ ಉತ್ತೀರ್ಣವಾಗಿವೆ, ಆದ್ದರಿಂದ ಆಲಿಸುವವರು ಅಥವಾ DNAT ಜೊತೆ ಮುಂದುವರಿಯಿರಿ. ಎಡ್ಜ್‌ನಲ್ಲಿ ಕಂಡು ಲ್ಯಾಬ್ WAN ನಲ್ಲಿ ಕಾಣದಿದ್ದರೆ ಅದು ವಿತರಣೆ ಅಥವಾ ಮಧ್ಯಂತರ ನೀತಿಯನ್ನು ಸೂಚಿಸುತ್ತದೆ, ಮತ್ತು ಮುಂದಿನ ಕರೆ ಅಪ್ಸ್ಟ್ರೀಮ್ ಮಾಲೀಕರಿಗೆ. ಎಲ್ಲಿಯೂ ಕಾಣದಿದ್ದರೆ ಫೈರ್ವಾಲ್ ಪ್ರಶ್ನೆಗೆ ಮೊದಲೇ ಪರೀಕ್ಷಾ ಟ್ಯೂಪಲ್, ಮೂಲ ಅಥವಾ ಮಾರ್ಗ ತಪ್ಪಾಗಿದೆ ಎಂದರ್ಥ.

ಒಂದು ಕ್ಯಾಪ್ಚರ್‌ನಲ್ಲಿ ಸಾಕ್ಷ್ಯದ ಅನುಪಸ್ಥಿತಿ ಫೈರ್ವಾಲ್‌ನ ಸಾಕ್ಷ್ಯವಲ್ಲ. ಮುಂದೆ ಯಾವ ಸಾಧನವನ್ನು ಪರಿಶೀಲಿಸಬೇಕು ಎಂದು ಹೇಳುವ ಗಡಿ ಫಲಿತಾಂಶವಿದು.

ಸ್ಥಳೀಯ NAT ಉತ್ತರವನ್ನು ಮರೆಮಾಡಲು ಬಿಡಬೇಡಿ

ಒಳಹರಿವು ದೃಢೀಕರಣಗೊಂಡ ನಂತರವೇ ಸ್ಥಳೀಯ ನಿಯಮ ಆಸಕ್ತಿದಾಯಕವಾಗುತ್ತದೆ. DNAT ಗುರಿಯು VPN ಆಲಿಸುವವರ ನಿಜವಾದ ವಿಳಾಸ ಮತ್ತು ಪೋರ್ಟ್ ಆಗಿದೆ ಎಂದು, ಸಂಬಂಧಿತ ಕುಟುಂಬಕ್ಕೆ ಫಾರ್ವರ್ಡಿಂಗ್ ಸಕ್ರಿಯವಾಗಿದೆ ಎಂದು, ಮತ್ತು ಉತ್ತರವು ವಿನಂತಿ ಬಂದ ಇಂಟರ್ಫೇಸ್‌ನಿಂದಲೇ ಹೊರಹೋಗುತ್ತದೆ ಎಂದು ದೃಢೀಕರಿಸಿ. ಗಮ್ಯಸ್ಥಾನವನ್ನು ಮರುಬರೆಯುವ ಆದರೆ ಹಿಂತಿರುಗುವ ಮಾರ್ಗವನ್ನು ಬರೆಯದ ನಿಯಮವು ಬಿಸಾಡಿದ ಪ್ಯಾಕೆಟ್‌ನಂತೆಯೇ ಅದೇ ಸಮಯ ಮೀರುವಿಕೆಯನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ.

ತನಿಖೆ ಮಾಡುವಾಗ ಪೋರ್ಟ್ ಭದ್ರತೆ ಮತ್ತು ಉತ್ಪಾದನಾ ಹಸ್ತಾಂತರವನ್ನು ಉಳಿಸಿಕೊಳ್ಳಿ. ಲಗತ್ತಿನ ನಿಯಂತ್ರಣಗಳನ್ನು ಬಳಸಿಕೊಳ್ಳಲು ರೌಟರ್ ಬದಲಾಯಿಸುವುದು ಅಥವಾ ಅದರ MAC ವಿಳಾಸವನ್ನು ನಕಲಿ ಮಾಡುವುದು ರೋಗನಿರ್ಣಯವನ್ನು ಅಡಚಣೆಯೊಂದಿಗೆ ವಿನಿಮಯ ಮಾಡುತ್ತದೆ. ಮಿರರ್ ಪೋರ್ಟ್ ಅಥವಾ ಅನುಮೋದಿತ ಕ್ಯಾಪ್ಚರ್ ಲಿಂಕ್ ಹಂಚಿಕೊಳ್ಳುವ ಸೇವೆಗಳನ್ನು ಸಂಪರ್ಕ ಕಡಿತಗೊಳಿಸದೆ ಅದೇ ಗೋಚರತೆಯನ್ನು ನೀಡುತ್ತದೆ.

ಮಾಲೀಕತ್ವದ ನಕ್ಷೆಯೊಂದಿಗೆ ಮುಗಿಸಿ: ಗಮ್ಯಸ್ಥಾನ, ತಲುಪಿಸುವ ಸಾಧನ, ಫಿಲ್ಟರ್ ಮಾಡುವ ಸಾಧನ, ಲ್ಯಾಬ್ ಒಳಹರಿವು ಮತ್ತು ಆಲಿಸುವವರು. ಆ ನಕ್ಷೆ ಮುಂದಿನ ಪೋರ್ಟ್-ಫಾರ್ವರ್ಡ್ ಪರಿಶೀಲನೆಯನ್ನು ಚಿಕ್ಕದಾಗಿಸುತ್ತದೆ, ಮತ್ತು ಅದು VPN ಬಗ್ಗೆ ಏನನ್ನೂ ದೃಢೀಕರಿಸುವುದಿಲ್ಲ.