ಫೈರ್ವಾಲ್ನಲ್ಲಿ ಯಾವ VPN ಪೋರ್ಟ್ಗಳನ್ನು ತೆರೆಯಬೇಕು: ಪ್ರೋಟೋಕಾಲ್ ಪ್ರಕಾರ
PPTP ಗೆ TCP 1723 ಮತ್ತು GRE ಬೇಕು, L2TP/IPsec ಗೆ UDP 500 ಮತ್ತು 4500 ಹಾಗೂ ESP ಬೇಕು, ಮತ್ತು SSTP, OpenVPN ಮತ್ತು WireGuard ಗೆ ತಲಾ ಒಂದು ಪೋರ್ಟ್ ಬೇಕು. ಏನನ್ನು ತೆರೆಯಬೇಕು ಎಂಬುದು ಇಲ್ಲಿದೆ.
VPN ಸುರಂಗವು ಫೈರ್ವಾಲ್ ದಾಟುತ್ತದೆಯೇ ಎಂಬುದನ್ನು ಎರಡು ಪ್ರತ್ಯೇಕ ನಿಯಮಗಳು ನಿರ್ಧರಿಸುತ್ತವೆ: ಕ್ಲೈಂಟ್ ಡಯಲ್ ಮಾಡುವ ಪೋರ್ಟ್ ಮತ್ತು ಪೇಲೋಡ್ ಸಾಗಿಸುವ ಪ್ರೋಟೋಕಾಲ್. ಮೊದಲನೆಯದನ್ನು ಮಾತ್ರ ತೆರೆದರೆ ಸುರಂಗ ದೃಢೀಕರಣ ಪಡೆಯುತ್ತದೆ, ಆದರೆ ನಂತರ ಯಾವುದೇ ಡೇಟಾ ಚಲಿಸುವುದಿಲ್ಲ. ಕನಿಷ್ಠ ಒಂದು TCP ಪೋರ್ಟ್ ಮತ್ತು GRE PPTP ಗೆ, ಎರಡು UDP ಪೋರ್ಟ್ಗಳು ಮತ್ತು ESP L2TP/IPsec ಹಾಗೂ IKEv2 ಗೆ, ಮತ್ತು ಒಂದು ಪೋರ್ಟ್ SSTP, OpenVPN ಮತ್ತು WireGuard ಗೆ. ದಿಕ್ಕು, ಸ್ಥಿತಿ ಟ್ರ್ಯಾಕಿಂಗ್ ಮತ್ತು NAT ಉಳಿದದ್ದನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ.
ಕ್ಲೈಂಟ್ ಡಯಲ್ ಮಾಡುವ ಪೋರ್ಟ್ನಿಂದ ಪ್ರಾರಂಭಿಸಿ
ಪ್ರತಿ ಕುಟುಂಬಕ್ಕೂ ಕ್ಲೈಂಟ್ ಮೊದಲು ಸಂಪರ್ಕಿಸುವ ಪ್ರವೇಶ ಬಿಂದು ಇರುತ್ತದೆ, ಮತ್ತು ನಿಮ್ಮ ಅನುಮತಿ ನಿಯಮವು ಅದೇ ಪ್ರವೇಶ ಬಿಂದುವನ್ನು ಹೆಸರಿಸಬೇಕು. PPTP ಕ್ಲೈಂಟ್ಗಳು TCP 1723 ಗೆ ಸಂಪರ್ಕಿಸುತ್ತವೆ. L2TP/IPsec UDP 500 ನಲ್ಲಿ IKE ಪ್ರಾರಂಭಿಸಿ NAT ಟ್ರಾವರ್ಸಲ್ ಬಳಸಿದಾಗ UDP 4500 ಗೆ ಹೋಗುತ್ತದೆ, L2TP ಚೌಕಟ್ಟು ಸುರಂಗದ ಒಳಗೆ UDP 1701 ನಲ್ಲಿರುತ್ತದೆ. SSTP ಸೆಷನ್ ಅನ್ನು TCP 443 ನಲ್ಲಿ TLS ಗೆ ಸುತ್ತುತ್ತದೆ, IKEv2 UDP 500 ಮತ್ತು 4500 ನಲ್ಲಿ ಮಾತುಕತೆ ನಡೆಸುತ್ತದೆ, OpenVPN ಡಿಫಾಲ್ಟ್ ಆಗಿ UDP 1194 ಬಳಸುತ್ತದೆ ಆದರೆ ಹೆಚ್ಚಾಗಿ TCP 443 ಗೆ ಸರಿಸಲಾಗುತ್ತದೆ, ಮತ್ತು WireGuard UDP 51820 ನಲ್ಲಿ ಕೇಳುತ್ತದೆ.
| Family | Rule to add on the gateway | Typical mistake |
|---|---|---|
| WireGuard | UDP port from ListenPort, for the peer address | Assuming 51820 when the config says otherwise |
| OpenVPN | The configured UDP or TCP port, often 443 | Opening 1194 after the server moved |
| SSTP | TCP 443 limited to the gateway IP | Allowing 443 to any destination |
| IKEv2 | UDP 500 and UDP 4500, plus ESP | Allowing only 500 and losing NAT-T |
| L2TP/IPsec | UDP 500, 4500, ESP, and 1701 inside the tunnel | Exposing 1701 to the internet |
| PPTP | TCP 1723 and IP protocol 47 | Writing a rule for TCP 47 |
ಈ ಸಂಖ್ಯೆಗಳನ್ನು ಸ್ಥಿರ ಗುಣಲಕ್ಷಣಗಳಲ್ಲ, ಡಿಫಾಲ್ಟ್ ಮೌಲ್ಯಗಳೆಂದು ಪರಿಗಣಿಸಿ. WireGuard ಇಂಟರ್ಫೇಸ್ ತನ್ನ ಸಂರಚನೆ ಘೋಷಿಸುವ ಯಾವುದೇ ಕೇಳುವ ಪೋರ್ಟ್ ಬಳಸುತ್ತದೆ, ಮತ್ತು OpenVPN ಸರ್ವರ್ ನಿರ್ವಾಹಕರು ಆಯ್ಕೆ ಮಾಡಿದ ಯಾವುದೇ ಪೋರ್ಟ್ನಲ್ಲಿ ಕುಳಿತುಕೊಳ್ಳಬಹುದು. ನಿಯಮ ಬರೆಯುವ ಮೊದಲು ಸರ್ವರ್ ಸಂರಚನೆ ಓದಿ, ಏಕೆಂದರೆ 1194 ಗೆ ತೆರೆದ ಫೈರ್ವಾಲ್ 443 ಗೆ ಸರಿಸಿದ ಸರ್ವರ್ಗೆ ಏನೂ ಮಾಡುವುದಿಲ್ಲ.
ಮೂರನೇ ಕಾಲಮ್ ಎಂದರೆ ಬಹುಪಾಲು ಬದಲಾವಣೆ ಟಿಕೆಟ್ಗಳು ತಪ್ಪಾಗುವ ಸ್ಥಳ. ನಿಯಮ ಇದೆ, ಆದರೆ ಅದು ತಪ್ಪು ಗಮ್ಯಸ್ಥಾನ, ತಪ್ಪು ದಿಕ್ಕು ಅಥವಾ ತಪ್ಪು ಸಾರಿಗೆಯತ್ತ ತೋರಿಸುತ್ತದೆ.
GRE ಮತ್ತು ESP ಪ್ರೋಟೋಕಾಲ್ ಸಂಖ್ಯೆಗಳು, ಪೋರ್ಟ್ಗಳಲ್ಲ
GRE ಮತ್ತು ESP ಗೆ ಪೋರ್ಟ್ಗಳೇ ಇಲ್ಲ, ಆದ್ದರಿಂದ ಪೋರ್ಟ್ ಸಂಖ್ಯೆಗಳನ್ನು ಮಾತ್ರ ಸ್ವೀಕರಿಸುವ ಫೈರ್ವಾಲ್ ಫಾರ್ಮ್ ಅವುಗಳನ್ನು ವ್ಯಕ್ತಪಡಿಸಲಾರದು. GRE ಎಂಬುದು IP ಪ್ರೋಟೋಕಾಲ್ 47 ಮತ್ತು ESP ಎಂಬುದು IP ಪ್ರೋಟೋಕಾಲ್ 50, ಎರಡನ್ನೂ IP ಶೀರ್ಷಿಕೆಯ ಪ್ರೋಟೋಕಾಲ್ ಕ್ಷೇತ್ರದ ಮೂಲಕ ಹೊಂದಿಸಲಾಗುತ್ತದೆ. TCP ಪೋರ್ಟ್ 47 ಎಂದು ಬರೆದ ನಿಯಮ ಯಾವುದಕ್ಕೂ ಹೊಂದಿಕೆಯಾಗುವುದಿಲ್ಲ, ಹೀಗೆ PPTP ನೀತಿ ಸರಿಯಾಗಿ ಕಾಣುತ್ತದೆ ಮತ್ತು ಹಸ್ತಲಾಘವದ ನಂತರ ಪ್ರತಿ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಬಿಟ್ಟುಬಿಡುತ್ತದೆ.
ಗ್ರಾಹಕ ರೌಟರ್ಗಳು ಇದನ್ನು ಪಾಸ್ಥ್ರೂ ಚೆಕ್ಬಾಕ್ಸ್ನ ಹಿಂದೆ ಮರೆಮಾಡುತ್ತವೆ, ಅದು ಪ್ರೋಟೋಕಾಲ್ ನಿಯಮವನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ ಮತ್ತು GRE ಗೆ ಹರಿವನ್ನು ನಕ್ಷೆ ಮಾಡಲು ಬೇಕಾದ NAT ಸಹಾಯಕವನ್ನೂ ಸ್ಥಾಪಿಸುತ್ತದೆ. ನಿಜವಾದ ಫೈರ್ವಾಲ್ನಲ್ಲಿ ನೀವೇ ಪ್ರೋಟೋಕಾಲ್ ಸೇರಿಸುತ್ತೀರಿ: PPTP ಸರ್ವರ್ಗೆ IP ಪ್ರೋಟೋಕಾಲ್ 47 ಅನ್ನು ಅನುಮತಿಸಿ, IPsec ಗೇಟ್ವೇಗೆ IP ಪ್ರೋಟೋಕಾಲ್ 50 ಅನ್ನು ಅನುಮತಿಸಿ. ಪ್ಲಾಟ್ಫಾರ್ಮ್ ಪ್ರೋಟೋಕಾಲ್ ಕ್ಷೇತ್ರ ನೀಡದಿದ್ದರೆ ಎನ್ಕ್ಯಾಪ್ಸುಲೇಶನ್ ದಾರಿ, ಆದ್ದರಿಂದ IKEv2 UDP 4500 ಗೆ ಹಿಂತಿರುಗಬಹುದು ಮತ್ತು ಆದ್ದರಿಂದ OpenVPN ಹಾಗೂ WireGuard ಈ ಸಮಸ್ಯೆಯನ್ನು ಎಂದಿಗೂ ಎದುರಿಸುವುದಿಲ್ಲ.
ಕ್ಲೈಂಟ್ಗೆ ದೋಷ ಹೊರಿಸುವ ಮೊದಲು ನಿಯಮ ನಿಜವಾಗಿ ಯಾವುದಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ. ಗೇಟ್ವೇಯಲ್ಲಿ ಶೂನ್ಯದಲ್ಲೇ ಉಳಿಯುವ ಪ್ಯಾಕೆಟ್ ಕೌಂಟರ್ ನಿಯಮ ಎಂದಿಗೂ ಚಾಲನೆಯಾಗಿಲ್ಲ ಎಂದು ಹೇಳುತ್ತದೆ, ಮತ್ತು ಕ್ಲೈಂಟ್ ಬದಿಯಲ್ಲಿ ಎಷ್ಟೇ ಮರುಸ್ಥಾಪನೆ ಮಾಡಿದರೂ ಅದು ಬದಲಾಗುವುದಿಲ್ಲ.
ದಿಕ್ಕು, ಸ್ಥಿತಿ ಮತ್ತು NAT ಉತ್ತರವನ್ನು ಬದಲಿಸುತ್ತವೆ
ಹೊರಕ್ಕೆ ಡಯಲ್ ಮಾಡುವ ಕ್ಲೈಂಟ್ ಮತ್ತು ಒಳಕ್ಕೆ ಕೇಳುವ ಗೇಟ್ವೇ ಬೇರೆ ಬೇರೆ ಅಗತ್ಯಗಳು, ಮತ್ತು ಅದೇ ಪೋರ್ಟ್ ಪಟ್ಟಿ ಒಂದು ದಿಕ್ಕಿನಲ್ಲಿ ಸರಿಯಾಗಿಯೂ ಇನ್ನೊಂದರಲ್ಲಿ ತಪ್ಪಾಗಿಯೂ ಇರಬಹುದು. ಸ್ಥಿತಿ ತಿಳಿದಿರುವ ಫೈರ್ವಾಲ್ 500 ಮತ್ತು 4500 ನಲ್ಲಿ UDP ಹರಿವನ್ನು ಟ್ರ್ಯಾಕ್ ಮಾಡಿ ಎರಡನೇ ನಿಯಮವಿಲ್ಲದೆ ಉತ್ತರಗಳನ್ನು ಹಿಂತಿರುಗಲು ಬಿಡುತ್ತದೆ. ESP ಮತ್ತು GRE ಪೋರ್ಟ್ಗಳನ್ನು ಸಾಗಿಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ NAT ಸಾಧನಕ್ಕೆ ಹಿಡಿಯಲು ಏನೂ ಇಲ್ಲ ಮತ್ತು ಸೆಷನ್ ಅನ್ನು ಅನುಸರಿಸಲು ಸಹಾಯಕ ಅಥವಾ ಎನ್ಕ್ಯಾಪ್ಸುಲೇಶನ್ ಬೇಕು.
NAT ಟ್ರಾವರ್ಸಲ್ ಎಂಬುದು ಕೈತಪ್ಪಿ ಹೋಗುವ ಭಾಗ. IKEv2 UDP 500 ನಲ್ಲಿ ಪ್ರಾರಂಭವಾಗಿ NAT ಸಾಧನವನ್ನು ಗುರುತಿಸಿ UDP 4500 ನಲ್ಲಿ ಮುಂದುವರಿಯುತ್ತದೆ, ಆದ್ದರಿಂದ 500 ಅನ್ನು ಮಾತ್ರ ಅನುಮತಿಸುವ ನೀತಿ ಸ್ಥಾಪನೆಯಾಗಿ ನಂತರ ಸುಮ್ಮನಾಗುವ ಸುರಂಗವನ್ನು ನೀಡುತ್ತದೆ. L2TP/IPsec ಕೂಡ ಅದೇ ಹೆಜ್ಜೆ ಇಡುತ್ತದೆ. ನಿಮ್ಮ ಕ್ಯಾಪ್ಚರ್ ಮೊದಲ ವಿನಿಮಯವನ್ನು ತೋರಿಸಿ ನಿರಂತರ ಸಂಚಾರವನ್ನು ತೋರಿಸದಿದ್ದರೆ, 500 ನಲ್ಲಿ ನಿಲ್ಲುವ ನಿಯಮವನ್ನು ಹುಡುಕಿ.
ಪ್ರತಿ ನಿಯಮದೊಂದಿಗೆ ದಿಕ್ಕನ್ನು ದಾಖಲಿಸಿ. «UDP 4500 ಅನ್ನು ಅನುಮತಿಸಿ» ಎಲ್ಲಿಂದ ಎಲ್ಲಿಗೆ ಎಂದು ಹೇಳುವವರೆಗೆ ಏನೂ ಅರ್ಥವಿಲ್ಲ, ಮತ್ತು ಸಂಚರಿಸುವ ಕ್ಲೈಂಟ್ಗೆ ಸರಿಯಾದ ನಿಯಮ ಸಾಮಾನ್ಯವಾಗಿ ಸೈಟ್-ಟು-ಸೈಟ್ ಸಹಯೋಗಿಗೆ ತಪ್ಪು.
ಪ್ರತಿ ಮಾರ್ಗವನ್ನು ಕ್ಯಾಪ್ಚರ್ನಿಂದ ಪರಿಶೀಲಿಸಿ
ಕ್ಯಾಪ್ಚರ್ ಅನ್ನು ಗೇಟ್ವೇಯಲ್ಲಿ ಚಲಾಯಿಸಿ, ಕ್ಲೈಂಟ್ನಲ್ಲಿ ಅಲ್ಲ: ಕ್ಲೈಂಟ್ ಬಂದದ್ದನ್ನು ಮಾತ್ರ ದಾಖಲಿಸುತ್ತದೆ. ಈ ಫಿಲ್ಟರ್ಗಳು ಮೇಲಿನ ಕುಟುಂಬಗಳನ್ನು ಒಳಗೊಂಡು ಯಾವ ಹಂತ ಕಾಣೆಯಾಗಿದೆ ಎಂದು ತೋರಿಸುತ್ತವೆ:
sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50ಔಟ್ಪುಟ್ ಅನ್ನು ಅನುಕ್ರಮವಾಗಿ ಓದಿ. ಮಾತುಕತೆ ಕಾಣಿಸಿಕೊಂಡು ಪೇಲೋಡ್ ಪ್ರೋಟೋಕಾಲ್ ಕಾಣಿಸದಿದ್ದರೆ, ಬೀಳಿಕೆ ಕ್ಲೈಂಟ್ ಮತ್ತು ಗೇಟ್ವೇ ನಡುವೆ ಎಲ್ಲೋ ಸಂಭವಿಸುತ್ತದೆ. ಎರಡೂ ಕಾಣಿಸಿ ಪುಟ ಇನ್ನೂ ವಿಫಲವಾದರೆ, ಫೈರ್ವಾಲ್ ಇನ್ನು ಸಂಶಯಾಸ್ಪದವಲ್ಲ; ರೌಟಿಂಗ್, DNS ಅಥವಾ ಕ್ಲೈಂಟ್ಗೆ ನೀಡಿದ ವಿಳಾಸ ಪೂಲ್ ನೋಡಿ.
tcpdump ಇಲ್ಲದ ಯಂತ್ರದಲ್ಲಿ ಅದೇ ಸಾಕ್ಷ್ಯ ಇಂಟರ್ಫೇಸ್ ಮತ್ತು ನಿಯಮ ಕೌಂಟರ್ಗಳಿಂದ ಬರುತ್ತದೆ. ಸುರಂಗದ ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ಬೈಟ್ಗಳು ಒಳಗೆ ಬಂದು ಹೊರಗೆ ಹೋಗದಿದ್ದರೆ ಅದು ಮೊದಲ ಅನುಮತಿ ನಿಯಮದ ಬದಲು ಹಿಂತಿರುಗುವ ಮಾರ್ಗವನ್ನು ಸೂಚಿಸುತ್ತದೆ.
ನೀವು ಸಮರ್ಥಿಸಬಹುದಾದ ನಿಯಮ ಸಮೂಹವನ್ನು ಬಿಡಿ
TCP 443 ನಲ್ಲಿ SSTP ಯಾವುದೇ ಪೋರ್ಟ್ ಆಧಾರಿತ ಫಿಲ್ಟರ್ಗೆ ಸಾಮಾನ್ಯ HTTPS ನಿಂದ ಪ್ರತ್ಯೇಕಿಸಲಾಗದು, ಮತ್ತು ನೆಟ್ವರ್ಕ್ ವೆಬ್ ಸಂಚಾರಕ್ಕೆ ಮಾತ್ರ ಅನುಮತಿ ನೀಡಿದಾಗ ಇದೇ ಉದ್ದೇಶ. ಆದ್ದರಿಂದಲೇ 443 ನಿಯಮವು ಇಡೀ ಇಂಟರ್ನೆಟ್ ಬದಲು ಗೇಟ್ವೇಯನ್ನು ಗಮ್ಯಸ್ಥಾನವಾಗಿ ಹೆಸರಿಸಬೇಕು. ಸುರಂಗ ಕೆಲಸ ಮಾಡಿದ ಕೂಡಲೇ ತಾತ್ಕಾಲಿಕ ಯಾವುದೇ-ಯಾವುದಕ್ಕೂ ನಿಯಮಗಳನ್ನು ಅಳಿಸಿ. ಯಾವ ನಿಯಮ ಹೊಂದಿಕೆಯಾಯಿತು, ಇರುವಲ್ಲಿ ಪ್ರೋಟೋಕಾಲ್ ಸಂಖ್ಯೆ, ಮತ್ತು ದಿಕ್ಕನ್ನು ಬರೆಯಿರಿ, ಮುಂದಿನ ವ್ಯಕ್ತಿ ಸಾಕ್ಷ್ಯದಿಂದ ಪ್ರಾರಂಭಿಸಲಿ.
ಕ್ಲೌಡ್ ಪಾಯಿಂಟ್-ಟು-ಸೈಟ್ ಗೇಟ್ವೇಗಳು ಆಯ್ಕೆಯನ್ನು ಗೋಚರಿಸುವಂತೆ ಮಾಡುತ್ತವೆ: ಡೌನ್ಲೋಡ್ ಮಾಡಿದ ಪ್ರೊಫೈಲ್ 443 ನಲ್ಲಿ SSTP ಅಥವಾ 500 ಮತ್ತು 4500 ನಲ್ಲಿ IKEv2 ಬಳಸುತ್ತದೆ, ಮತ್ತು ಪ್ರೊಫೈಲ್ ನಿಜವಾಗಿ ಆಯ್ಕೆ ಮಾಡಿದ್ದನ್ನು ಮಾತ್ರ ತೆರೆಯಬೇಕು. ಆಧುನಿಕ ನೆಟ್ವರ್ಕ್ನಲ್ಲಿ PPTP GRE ಅಪವಾದಕ್ಕೆ ಅರ್ಹವಲ್ಲ, ಏಕೆಂದರೆ ಮೊಬೈಲ್ ಆಪರೇಟರ್ಗಳು ನಿಮ್ಮ ಫೈರ್ವಾಲ್ ಲೆಕ್ಕಿಸದೆ ಪ್ರೋಟೋಕಾಲ್ 47 ಅನ್ನು ಹೆಚ್ಚಾಗಿ ಬಿಟ್ಟುಬಿಡುತ್ತವೆ. ಟಿಕೆಟ್ ಮುಚ್ಚುವ ಮೊದಲು ನಿಯಮವು ಸರ್ವರ್ ಸಂರಚನೆಯ ಪೋರ್ಟ್ಗೆ ಹೊಂದಿಕೆಯಾಗುತ್ತದೆ, ಪ್ರೋಟೋಕಾಲ್ ಕ್ಷೇತ್ರ ಕುಟುಂಬಕ್ಕೆ ಬೇಕಾದಲ್ಲಿ ಸೆಟ್ ಆಗಿದೆ, ಮತ್ತು ಗಮ್ಯಸ್ಥಾನ ಯಾವುದೇ ವಿಳಾಸವಲ್ಲ, ಗೇಟ್ವೇ ಎಂದು ಖಚಿತಪಡಿಸಿ.