VPN маршрутизатордо же портту багыттоо: кайсы жеңет?

Маршрутизатор VPNды өзү бүтүрөт, ал эми эски багыттоо эрежеси дагы эле ошол эле UDP портун LANдагы машинага жөнөтөт. Алардын бирөө гана чыныгы акыркы чекит боло алат, жана ядро алардын ортосунда чечим кабыл албайт. Максаттын котормосу жергиликтүү кызматка кайрылганга чейин пакетти кайра жазат, ошондуктан VPN процесси башка жакка жөнөтүлгөн трафикти күтөт. Милдет — порт кимге таандык экенин чечүү, анан эрежелерди макулдаштыруу.

Бир порт, эки талап кылган ээ

Маршрутизатордун ичинде иштеген VPN сервери өз сокетине алып бара турган кирүү уруксатын талап кылат. Ошол эле порт үчүн максат-NAT жазуусу таптакыр башка жакка алып барат: LAN дарегине жана багыттоо чечимине. Булар ар башка журналдар жана ар башка бузулуу режимдери бар бөлөк акыркы чекиттер. Адаттагы белги — бир дарек үй-бүлөсү иштейт, экинчиси иштебейт, анткени калган жазуу бир үй-бүлө үчүн жазылган жана эч качан кайра каралган эмес.

Оңдоодон мурун талапты жазып коюңуз: үй-бүлө, сырткы дарек, ташуу, порт жана которулган максат.

Котормо жергиликтүү текшерүүдөн мурун иштейт

Максат NAT ядро жергиликтүү жеткирүү менен багыттоонун ортосунда тандоо кылганга чейин, маршруттоо алдындагы баскычта пакеттин максатын өзгөртөт. Максат LAN хост болгондон кийин, пакет багыттоо жолуна түшөт. Маршрутизатордун өз сокети үчүн кирүү эрежелери эч качан каралбайт, ошондуктан кардар күтүп жатканда VPN журналы бош калат.

Intended local entry:
WAN UDP 1194 -> router local socket -> input path

Conflicting old entry:
WAN UDP 1194 -> DNAT 192.168.50.10:1194 -> forward path

Ушул тартип — бүткүл механизм, жана түзмөк интерфейстери аны өзгөртпөстөн белги кутучаларынын артына жашырат. Пакеттин кайсы жол менен жүрөрүн дагы эле максаттын ээси чечет.

Эгер LAN хост көздөлгөн акыркы чекит болсо, багыттоо туура жана маршрутизатор ошол портто да угууга тийиш эмес.

Бир салыштырууну калтырып, экинчисин өчүрүңүз

Ошол порт жана үй-бүлө үчүн NAT жазууларын тизмелеп, аман калганын тандаңыз:

sudo iptables -t nat -S | grep 1194
sudo ss -lunp | grep :1194

Ошол эле номурдагы TCP жазуусу UDP бузулушу үчүн маанисиз, жана аларды бир объект катары кароо туура эмес эрежени өчүрүүгө алып келет. Жергиликтүү сокет жеңишке жетиши керек болгондо, карама-каршы салыштыруунун ээси ошол бир жазууну өчүрөт же кайра жазат, ал эми маршрутизатордун өз портуна кирүү уруксаты ордунда калат. Байланышы жок багыттоолор, башкаруу жолу жана эрежелер топтомунун көчүрмөсү — баары өзгөрүүгө туруштук бериши керек.

Эгер VPN бөлөк хостто жашаса, багыттоо туура объект. Контейнердеги же виртуалдык машинадагы кызматка кутуча маршрутизатор деп аталса да жарыяланган порт керек болушу мүмкүн, ошондуктан корпустагы жапшырманы эмес, сокетти жана анын ат мейкиндигин көзөмөлдөңүз.

Ээсин сырттан ырастаңыз

Ар бир үй-бүлөнү өзүнчө текшериңиз, анткени маршрутизатордо бүткөн IPv6 байланышы эски эреже багыттаган IPv4 байланышы жөнүндө эч нерсе айтпайт. Кайсы акыркы чекит жооп бергенин көрүү үчүн кабыл алуучу кызматтын журналын окуңуз, ал эми кардардын ийгилик билдирүүсүн алсыз далил деп эсептеңиз. Маанилүү сыноо үчүн жаңы агым керек. Сырткы хосттон nc -zvu 203.0.113.7 1194 аркылуу зонд жөнөтүңүз жана жеңүүчүнүн журналын journalctl -u openvpn@server -n 20 аркылуу окуңуз. Маршрутизатордун угуучусу байланышты өзү жазат, ал эми LAN хост аны өз кызматында жазат.

Байланыштарды көзөмөлдөө бар агымдарды баштапкы салыштыруусунда кармайт, ошондуктан орнотулган сессия сиз жаңы эле оңдогон эрежеден узагыраак жашашы мүмкүн.

Көздөлгөн акыркы чекит адаттагы инсандык текшерүүлөрү менен жооп бергенден кийин, туннелдин артындагы жеке ресурсту текшериңиз. Сырткы угуучуга жетүү — биринчи кадам гана; ички маршруттоо жана колдонмо авторизациясы өзүнчө натыйжалар.