Бекитилген UDP порттору порт өткөрүүнү айланып өтө алат, бирок ар бир NAT эмес

Эки үй маршрутизатору, бир да порт өткөрүлгөн эмес, жана кээде баары бир туташкан VPN. UDP муну уруксат кылат, анткени брандмауэр машина мурун эле баштаган агымга дал келтире алган пакетти кабыл алат. Бул функция эмес, шарттуу амал, жана брандмауэр эмнени салыштырарын билгенде шарттарды атоо оңой. Окшош профилдердин ар башка тармактарда башкача жүрүм-турумунун себеби да ушунда.

Брандмауэр жасаган салыштыруу

Ар бир чыгуучу датаграмма кыска мөөнөттүү жазуу түзөт: булак дареги, булак порту, багыт дареги, багыт порту. Жазууга дал келген нерсе жооп катары кабыл алынып, өткөрүлөт. Кирүү эрежелеринин буга эч кандай тиешеси жок.

Ошондуктан суроо брандмауэр шерикти ичке киргизеби дегенде эмес. Суроо шериктин пакети жазуу күтүп турган жоопко окшошпу дегенде. Ошол төрт бөлүктүү кортеждин бир талаасын өзгөртсөңүз, пакет бөтөн болуп калат. Ошондуктан иштеп турган конфигурация порт номери гана өзгөргөндө бузулушу мүмкүн, жана ошондуктан бир порт бир маршрутизатордо иштеп, кийинкисинде ишке ашпай калышы мүмкүн.

Жергиликтүү булак портун бекитиңиз, ошондо ошол эле номер алмашуунун эки тарабында көрүнөт. Бул бүт механизм, жана амалдын сырдуу эмес, назик экенин түшүндүрөт.

Ар бир учунда бир портту бекемдөө

OpenVPNдин демейки UDP порту 1194, ал эми lport кайсы порттон жөнөтөрүн аныктайт. Эки шерикти тең бекитиңиз, ошондо ар биринин чыгуучу кортежи экинчиси уккуп турган портту көрсөтөт:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Бул алардын ортосундагы эч бир маршрутизатор булак портун кайра жазбайынча иштейт. Пакеттер кармоодо көрүнүп, бирок туннель көтөрүлбөсө, кайра жазуу биринчи шектүү.

Кортеж дал келүүнү токтоткон жер

Багыт боюнча картага түшүргөн NAT ар бир шерикке башка сырткы порт берет. Шеригиңизге колдонуу айтылган дарек ага жеткен дарек эмес, ошондуктан кирүүчү пакет эч нерсеге дал келбейт жана үнсүз ташталат.

Оператор деңгээлиндеги которуу, катмарланган NAT жана портторду кокустукка салуу баары бирдей бүтөт. Даректерди тынч калтырып, портторду кайра жазган ар кандай орто куту да ошондой.

Агымдык транспорттордун абалы начар. TCP кол алышуусу кадам-кадам менен көзөмөлдөнөт, ошондуктан TCP негизиндеги VPN бул жол менен такыр тешилбейт жана жолдун бир жеринде угуучу керек.

Адатта бир тарап биринчи ишке ашпай калат

Иш жүзүндө эки тармак сейрек бирдей жүрүм-турум көрсөтөт. Бир маршрутизатор болжолдуу картаны бере алат, экинчиси багыт боюнча портторду берет, жана натыйжа — эки үйдүн ортосунда иштеп, уюлдук тармактан ишке ашпаган конфигурация. Бир-бирине каршы келген отчёттор адатта эки башка маршрутизатор жупун сүрөттөйт. Эч бир автор жаңылбайт, жана эч бир натыйжа жалпыланбайт.

Профилдерди кармоодон мурун пакетти кайсы тарап таштаганын аныктаңыз. Эки учундагы кармоо муну бир аракетте чечет: Aдан чыгып Bге эч качан жетпеген датаграммалар агым жолдо кайра жазылганын билдирет, ал эми Bге жоопсуз жеткен датаграммалар брандмауэр аларды байланыштуу деп кабыл албаганын билдирет.

Коомдук IPv6 даректери бар эки шерик бүт маселени айланып өтөт. Которуу жок болсо салыштырар эч нерсе жок, ошондуктан шериктерди атаган брандмауэр эрежеси жетиштүү жана долбоор маршрутизатордун жүрүм-турумуна көз каранды болууну токтотот.

Кайсы учурда аракетти токтотуу керек

Коомдук дареги бар хост — ишенимдүү жооп. Ал эки шерик үчүн туннелди бүтүрө алат, же жөн гана аларга бири-биринин учурдагы сырткы дарегин табууга жардам бере алат, жана NAT эмне кылса да эки жайгашуу тең иштейт. Саясат уруксат берсе, башкарылуучу катмарланган тармак ошол эле координацияны берет.

Булардын эч бири өчүрүлгөн брандмауэрди талап кылбайт. Түз байланышты утуу үчүн коргоону өчүрүү түз аракетти жагымдуу кылган себепти таштайт жана сыноонун бүт убактысында машинаны ачык калтырат.

Алгач түз жайгашууну сынап көрүңүз, анан көргөнүңүздү жазып алыңыз. NATтын жүрүм-туруму жана аны көрсөткөн кармоо акырында колдонгон порт жубунан кымбат, анткени кийинки тармак башка болот. OpenVPN 2.6 колдонмосу документтештирет lport жана ушуга көз каранды болгон remote параметрлерин.