VPN агымындагы кардардын баштапкы порту жана сервердин угуучусу
Бир туннелдеги эки порт номерин салыштырыңыз: сервердин туруктуу угуучусу жана кардардын кыска мөөнөттүү баштапкы порту, жана алардын ортосунда маршрутизатордун котормосу кантип турат.
Бир эле сүйлөшүүдө эки сан пайда болот жана экөө тең туура эмес эмес. Сервердин журналы кызмат сунуштаган угуучуну көрсөтөт, ноутбук датаграмма жөнөткөн сокетти көрсөтөт, ал эми ортодогу маршрутизатор экинчисин сыртка чыгууда кайра жаза алат. Сүйлөшүүнүн эки учуп салыштыруу сандарды салыштыргандан пайдалуураак. Төмөнкү салыштыруу угуучуну, кардардын сокетин жана которулган баштапкыны өзүнчө кармайт, анткени алар ар башка суроолорго жооп берет.
Карама-каршы учтарды сүрөттөгөн эки сан
Сервердин конфигурацияланган порту кардар чалган максат. Аны саясат бекитет, ал профилде көрүнөт жана сервер тарапта ачык болушу керек. Кардардын баштапкы порту жергиликтүү түрдө, адатта кыска мөөнөттүү диапазондон тандалат жана жооптун түшө турган жери болушу үчүн керек. Ал ар бир кайра туташууда өзгөрүшү мүмкүн, ал эми дизайнда эч нерсе анын туруктуулугуна көз каранды эмес.
Ортодогу маршрутизатор ошол баштапкыны өзүнүн 'NAT' чагылдыруусуна кайра жаза алат. Ошондуктан серверде байкалган сан ноутбук тандаган сан менен көп учурда эч кандай байланышта болбойт.
Баштапкы номер сыртка чыгууда кайда өзгөрөт
Ойлоп табылган IPv4 мисалын алыңыз: которуучу маршрутизатордун артындагы кардар, бир 'UDP' угуучусу бар сервер жана экөөнүн тең ичинен өткөн бир датаграмма. Таблица пакетти үч байкоо чекитинде кайра ойнотуунун ордуна ар бир учту жана ага эмне болорун атайт.
| Endpoint | What stays fixed | What changes on reconnect | Who owns it |
|---|---|---|---|
| Server listener | The service port and the address the profile names | Nothing; the listener does not follow the client | The server operator |
| Client socket | The destination it dials | The local source port, chosen per socket | The client, or its operating system |
| Translated source | Usually the public address of the router | The port, and sometimes the address after a network switch | The NAT device or the upstream carrier |
Максат ар бир сапта туруктуу, өзгөргөн нерсе — баштапкынын инсандыгы гана. UDP NAT талаптары ички даректи жана портту тышкы чагылдыруудан ажыратат, бул так экинчи жана үчүнчү саптардын айырмасы. Маршрутизатор кардардын баштапкы портун сактай алат же башкасын тандай алат; сакталышын колдонмо болжолдоп албашы керек.
Үч учту хосттордун өзүнөн окуңуз
Төмөнкү тизмелер үч башка машинадан келип, чогуу бүт сүйлөшүүнү көрсөтөт. Биринчисин серверде, экинчисин кардарда, үчүнчүсүн чагылдыруу бар жерде иштетиңиз. Бир журнал сабы эч качан үчөөнү тең көрсөтпөйт.
ss -lunp 'sport = :1194'
ss -unp | grep 1194
conntrack -L -p udp | grep 1194Биринчи тизме сервердин кызмат портуна байланганын далилдейт жана аны кайсы процесс кармап турганын көрсөтөт. Экинчиси кардардын жергиликтүү сокетин жана ал чалган максатты көрсөтөт. Үчүнчүсү маршрутизатор түзгөн чагылдырууну көрсөтөт, ал эми которулган баштапкы так ошондо гана пайда болот. Аларды ушул тартипте окуңуз, эки сан карама-каршы көрүнүүнү токтотот.
Кайра туташуу эмнени өзгөртөт, эмнени өзгөртпөйт
Айрым маршрутизаторлор кардардын баштапкы портун бош болгондо сакташат, айрымдары ар жолу башкасын бөлүп берет. Эки жүрүм-турум тең кадимки, ал эми биринчисин талап кылган колдонмо экинчисинде бузулат. Кайра туташуудан же тармак алмашуудан кийин чагылдыруунун өзгөрүшү сервердин бузулушу эмес: кардар жаңы сокет ачат, маршрутизатор колундагыны берет, ал эми сервер ошол эле угуучуда жаңы баштапкыны көрөт. Бузулуш сервер каалаган кардар портуна жиберилген трафикти кабыл алат деп күтүү болмок.
Коомчулуктун OpenVPN кардарлары бул жүрүм-турумду nobind аркылуу алышат, ал операциялык системага жергиликтүү портту тандоого мүмкүндүк берет; алыскы порт дагы эле профилден келет. Ачык байлоо — аң-сезимдүү тандоо, протоколдун талабы эмес. Сервер бир учту сунуштоону улантат, кардарлар өздөрүнүн жергиликтүү инсандыктарын тандашат.
Жазууда катмарларды өзүнчө белгилеңиз
Туннелдин ичинде өз порттору бар экинчи сүйлөшүү бар. Туннель алып жүргөн HTTPS сурамынын максаты TCP 443, ал эми тышкы шифрленген туташуу UDP 1194 колдонот, ошондуктан тышкы баштапкы портту өзгөртүү ички кызматта эч нерсени өзгөртпөйт.
Тышкы катмарда да протокол маанилүү. UDP 1194 жана TCP 1194 ар башка учтар, ал эми 'TCP' угуучусу номер дал келгендиктен эч качан UDP датаграммасын албайт. Жайгаштырууну документтештиргенде сервердин угуучусун, кардардын сокетин жана которулган баштапкыны үч өзүнчө нерсе катары белгилеп, ар бирине ташууну кошуңуз.
Анан саясат ролдорду ээрчисин. Сервер көздөлгөн ташууну өз угуучусунда ачат жана өнөктөштү дагы эле аутентификациялайт; кардардын брандмауэри кирүүчү кызматты жарыялабастан өзүнүн чыгуучу алмашуусуна жоопторду өткөрөт. Абалсыз фильтрге кайтуу багыты ачык жазылышы керек, жана бул айырмачылыктын тыкан диаграммалардан тышкары маанилүү болушунун практикалык себеби.