Эмне үчүн DNS жообу абалсыз VPN четиндеги фаерволдо ишке ашпайт

Туннель көтөрүлгөн, кардарлар VPN хостко жете алат, бирок хост эч нерсени чече албайт. Анын өзүнүн чыгуучу суроолору интерфейстен таза чыгат, демек бузулуу кайтуу жолунда: хост жаңы эле жөнөткөнүн эстебестен кирүүчү трафикти чыпкалаган жогорку четте. Туннелдин портун уруксат кылуу бул алмашууну такыр сүрөттөбөйт. DNS суроосуна жооп өзүнчө агым, ал эми чет абалсыз болсо, ага кайтууга эч нерсе уруксат берген эмес.

Эки алмашуу бир алмашуу эмес

Кортеждерди жазып койсоңуз, ката айкын болот. Суроонун буталыш порту жооптун булак портуна айланат, бул 53 порту үчүн кирүүчү эреже кошкондо көпчүлүк элестеткенге түз карама-каршы:

query:  203.0.113.10:53018 -> 198.51.100.53:53
reply:  198.51.100.53:53 -> 203.0.113.10:53018

Буталыш порту 53тү талап кылган кирүүчү эреже хостто иштеп жаткан DNS угуучуга багытталган трафикти сүрөттөйт, ал эми бул таптакыр башка кызмат. Бул даректер документтик мисалдар, ал эми булак портун кардар ар бир суроо үчүн тандайт, ошондуктан бул эрежеге көчүрүп, андан ары иштейт деп күтүүгө боло турган маани эмес.

Абалсыз чет жана абалдуу хост фаерволу

Абалсыз чет чыпкасы ар бир кирүүчү пакетти өз эрежелер тизмесине ылайык баалайт, артында байланыштар таблицасы жок. Ийгиликтүү чыккан чыгуучу суроо өзүнүн кирүүчү жообу үчүн эч кандай уруксат жаратпайт, себеби түзмөктө суроо болгону тууралуу жазуу жок. Абалдуу хост фаерволу тескерисинче: анын байланыш көзөмөлү уруксат берилген алмашуунун кайтуу трафигин таанып, жооп үчүн эрежесиз өткөрөт. Эки чек тең кадимки жолдо бар, жана экөө тең көздөлгөн пакетке уруксат бериши керек.

Салыштыруу маанилүү, анткени эки түзмөк ар башкача ишке ашпайт. Жоопту четке каккан абалдуу фаервол түшүрүүнү жазат; абалсыз чет аны үнсүз четке кагат, ошондуктан хост жөн эле убакыт чегине жетет.

Уруксатты порт номеринин эмес, протоколдун айланасында куруңуз

Эрежени чыныгы чечүүчү даректерине, буталыш хостко жана продукт колдогон кабыл алуучу порт саясатына чектеңиз. DNSтин TCP жолун да эстен чыгарбаңыз, анткени чоң жооп же кыскартууга байланыштуу артка чегинүү алмашууну TCPге которот жана UDP гана эрежеси аны камтый албайт. Эгер чет белгиленген агым үчүн абалдуу текшерүүнү колдосо, аны кол менен жазылган жооп эрежесинен артык көрүңүз, себеби абалдуу жол кардар тандаган портторду өзү эле ээрчийт.

Андан кийин жолдогу кайсы продукт трафикти чын эле чыпкалаарын ырастаңыз. Документтелген IPv4 чет алкагы IPv6 саясатын белгилебейт, ал эми провайдердин ички трафиги ошол чыпкадан такыр өтпөшү мүмкүн.

Эмне үчүн каалаган булак порту 53кө уруксат берүү түзөтүү эмес

Булак порту 53 деп ырастагандын баарын кабыл алган эреже — жөнөтүүчү аталыш талаасына жазганды кабыл алган эреже. Порт номери жөнөтүүчүнү аутентификациялабайт жана жүктүн жарактуу жооп экенин далилдебейт, ошондуктан эреже чечүүнү ишенимдүүрөөк кылбастан хосттун таасир аймагын кеңейтет. Жетүү тизмесин жеңилдетүү үчүн аларды өчүрүүнүн ордуна булак чектөөлөрүн жана кардардын өзүнүн жооп текшерүүлөрүн, анын ичинде булак портун рандомизациялоону сактаңыз.

Эгер чечүүчү өзүңүз көзөмөлдөгөн кызмат болсо, анын даректери менен чектөө жетиштүү. Эгер ал ачык чечүүчү болсо, өзүңүз жактырган даректер менен чектеп, аларды эреженин түшүндүрмөсүндө жазып койңуз.

Туура чекте, туура багытта текшериңиз

Бир суроо үчүн хостто жана четте кармап алыңыз, пакет санын эмес кортеждерди салыштырыңыз. Эки тарапта көрүнгөн, бирок хост тарабында жообу көрүнбөгөн суроо кирүүчү чыпканы көрсөтөт; хост тарабында гана көрүнгөн суроо маршруттоого же чечүүчүнүн өзүнө көрсөтөт. Эгер сизде UDP гана уруксаты болсо, TCP суроосу менен кайталаңыз, анткени биринчи сыноо көрө албаган кемтик ошол.

Муну түзөтүү хостко чын эле керек болгон DNS алмашууну бүтүрөт. Бул хостту ачык чечүүчүгө айландырбайт, кайра багытталган VPN агымдарына уруксат бербейт жана DNS кандайдыр бир байланышсыз туннель маселесинин себеби болгонун далилдебейт.