Үй VPN сервери үчүн порт триггери жана портту кайра багыттоо
Триггер чыгуучу трафиктен кийин салыштырууну ачат; кайра багыттоо портту такыр салыштырат. Үй VPN серверине экинчиси керек, чыныгы угуучуга чектелген.
Портту кайра багыттоо жана порт триггери көпчүлүк үй роутерлеринде бир менюде турат, ошондуктан аларды бир ишти аткаруунун эки ыкмасы катары карашат. Кайра багыттоо – статикалык эреже: WAN портуна келген кирүүчү байланыш белгиленген ички дарекке жана портко айландырылат, башка нерсе болуп жатса да, жатпаса да. Триггер шарттуу: роутер чыгуучу трафикти көзөмөлдөйт жана тиешелүү байланыш сыртка чыккандан кийин гана кирүүчү салыштырууну ачат. VPN сервери адегенде башка бирөөнүн туташуусун күтөт, ошондуктан дал ошол шарт анын эч качан аткара албаган жалгыз нерсеси.
Жашоо циклдери ар башка эки эреже
IPv4 NAT абалды сактайт. Ички хост пакетти сыртка жөнөткөндө, роутер салыштыруу түзөт, ошондо жооптор кайра жолду табат; эч кандай салыштырууга туура келбеген кирүүчү пакет ыргытылат, жана дал ушул жүрүм-турум жаңыртылбаган иш тактасын интернеттен тышкары кармайт. Кайра багыттоо – кол менен кошулган туруктуу айландыруу жазуусу. Триггер – трафик үлгүсү менен кайтарылган убактылуу тешик.
Практикалык айырма – убакыт. Кайра багыттоо сакталган учурдан баштап бирөө аны жок кылганга чейин болот. Триггерленген салыштыруу триггер иштегенден кийин болот жана бош туруу таймери менен жабылат, ал керектөөчү аппаратта мүнөт менен өлчөнөт, же кайра жүктөөдө дароо.
Экөө тең абстракцияда кооптуураак эмес. Кайра багыттоо бир портту тынымсыз ачат; триггер аны белгилүү бир чыгуучу трафиктен кийин гана ачат. Тааныш эмес адамдан биринчи пакетти кабыл алууга тийиш кызмат үчүн экөөнүн бирөө гана ишке туура келет.
Эмне үчүн триггер серверди жарыялабайт
VPN сервери табияты боюнча пассивдүү. Өнөктөш, кафедети ноутбук же мобилдик маалыматтагы телефон, биринчи пакетти жөнөтөт, ал эми роутерде ага арналган салыштыруу жок. Ичинде эч нерсе триггер портуна трафик баштаган жок, ошондуктан эреже эч качан иштебейт жана байланыш кол алышуу башталганга чейин өлөт.
Триггер иштеп жаткандай көрүнгөн жерлерде триггер портунда трафикти башка нерсе жаратат: LANдагы кардар, мониторинг зонду же сервердин өзүнүн чыгуучу текшерүүлөрү. Ошондо салыштыруу ошол бир хост үчүн ачылып, трафик токтогондо жабылат, ошондуктан кийинки сырткы өнөктөш кайра ийгиликсиз болот, ал эми биринчи ийгилик журналда далил болуп көрүнөт.
Триггер адатта бир хостко арналган. Көптөгөн ишке ашыруулар бир убакта бир гана ички түзмөккө салыштырууну кармоого уруксат берет, бул бир нече өнөктөшкө жооп берүүгө тийиш сервер үчүн таптакыр туура эмес. Функция сыртка башкаруу байланышын ачкан жана экинчи портто кирүүчү маалыматты күткөн колдонмолор үчүн жасалган, жана ал дагы эле ошол формага туура келет.
Кайра багыттоо чындыгында эмнени салыштырат
Кайра багыттоо – бир айландыруу жазуусу: WAN порту жана протоколу ички дарекке жана портко. Ал экинчи учунда буга чейин иштеп турган угуучуну талап кылат жана ички даректин ордунда калышын талап кылат. Башка машинага көчкөн DHCP ижарасы ар бир туннелди туура эмес хостко үнсүз жөнөтөт, ошондуктан эрежеден мурун резервди түзүңүз.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
Протокол форма көрсөткөндөн да маанилүү. UDP үстүндөгү OpenVPN UDP кайра багыттоону талап кылат, WireGuard UDP талап кылат, ал эми IPsec маалыматтары ESP катары, IP протоколу 50 келет, анда такыр порт жок. Бир гана TCP же UDP кабыл алган кайра багыттоо формасы муну билдире албайт, ошондуктан IPsec порт эрежесинин ордуна passthrough же статикалык бир-бирге салыштырууну талап кылат.
Роутериңиздин үстүндөгү катмар
Кайра багыттоо сизге таандык айландырууну гана башкарат. Эгер WAN дареги сиздики болбосо, бул оператордун NAT артындагы учур, мында абоненттер 100.64.0.0/10ду бөлүшөт, RFC 6598 сүрөттөлгөндөй, кирүүчү байланыш сиздин роутериңизге эч качан жетпейт, анткени провайдер биринчи айландырган. Сиздин түзмөгүңүздөгү эч бир эреже бул тартипти оңдой албайт.
Кош NAT – ошол эле маселенин кичине көчүрмөсү. Сиздин роутериңиз ISP роутерине багыттайт, анда тиешелүү эреже жок жана ал пакетти ыргытат. Же эрежени сырткы түзмөккө кошуңуз, же сырткы түзмөктү көпүрө режимине коюп, өзүңүздүкүнө коомдук даректи кармоого уруксат бериңиз.
Ошондуктан тест сырттан келиши керек. Коомдук дарек аркылуу ошол эле LANдан жасалган тест hairpin NAT колдоосуна көз каранды жана эрежеге тиешеси жок себептерден өтүшү же ийгиликсиз болушу мүмкүн; мобилдик маалыматтагы телефон же башка тармактагы дос – тазараак текшерүү.
Эрежени чектеңиз, анан эки жарымын текшериңиз
Бир портту бир дарекке багыттаңыз. Алгачкы аракеттер ийгиликсиз болгондуктан кошулган диапазон – башкаруу интерфейстеринин интернетке чыгуу жолу, ал эми VPN угуучусуна жанында роутердин админ бети жарыяланышынын кереги жок.
Ошол угуучуну мурун коргогон нерсенин баарын сактаңыз: сертификат же ачкыч боюнча инсандык, хосттун файрволу, пакеттердин учурдагы версиялары. Кайра багыттоо пакетти киргизет; аутентификация пакеттин туннелге айланарын чечет, жана бир нерсе туура эмес болгондо бул эки өзүнчө ийгиликсиздик.
Текшерүүнүн эки жарымы бар. Кол алышуу сырткы тармактан бүтүшү керек, анан сервердин артындагы жеке ресурс туннел аркылуу жооп бериши керек. Кайра багыттоо туннел байланышын киргизет, андан ашык эмес; 10.8.0.0/24 үчүн маршруттоо жана авторизация – башка экрандагы башка параметр.
Үч суроо менен чечиңиз
Үч суроо тандоону каалаган салыштыруу таблицасынан тезирээк чечет:
- Сырттан бир нерсе биринчи пакет катары туташабы? Анда кайра багыттоону же релени колдонуңуз. Триггер эч качан болбой турган чыгуучу трафиксиз ачылбайт.
- Тешик бош туруу убагынан узак жашашы керекпи? Анда кайра багыттоону колдонуңуз, анткени триггерленген салыштыруу өз графиги менен жабылат.
- WAN дареги жарыялоо үчүн сиздикиби? Эгер андай болбосо, каалаган эрежени оңдоодон мурун жогорку катмарды оңдоңуз.
Эгер үчөөнө тең жооп жок болсо, бул коммерциялык провайдерге өзү чалган ноутбуктун учуру, эки эреженин бири да керек эмес. NAT артындагы кардар иштейт, анткени абал сактаган салыштырууну өзү жасайт, жана бул түн ортосунда портту кайра багыттоо бети окуган адамдардын көбүн камтыйт.