Client-Source-Port géintiwwer Server-Listener an engem VPN-Floss
Vergläicht déi zwee Portnummeren an engem Tunnel: de feste Listener vum Server an de kuerzliewegen Ursprong vum Client, a wéi d'Router-Iwwersetzung dozwëscht läit.
An der selwechter Konversatioun erschéngen zwou Zuelen, an déi zwou ass net falsch. De Server-Log weist de Listener, dee den Déngscht ubitt, den Notebook weist de Socket, deen den Datagramm geschéckt huet, an e Router dozwëscht kann déi zweet um Ausgang ëmschreiwen. D'Enn vun der Konversatioun ze vergläichen ass méi nëtzlech wéi d'Zifferen ze vergläichen. De Verglach hei drënner hält de Listener, de Client-Socket an den iwwersetzten Ursprong getrennt, well se verschidde Froen beäntweren.
Zwou Zuelen, déi géigeniwwerlei Enner beschreiwen
De konfiguréierte Port vum Server ass d'Zil, un dat de Client wielt. E gëtt duerch d'Politik festgeluecht, erschéngt am Profil an muss op der Serversäit oppe sinn. De Source-Port vum Client gëtt lokal gewielt, meeschtens aus dem ephemeren Beräich, an existéiert, fir datt d'Äntwert eng Plaz huet fir ze landen. E kann bei all Neiverbindung änneren, an näischt am Design hänkt dovun of, datt e stabil bleift.
E Router dozwëscht kann dësen Ursprong a seng eege 'NAT'-Mapping ëmschreiwen. Duerfir huet d'Zuel, déi um Server gesi gëtt, dacks kee Verhältnis zu där, déi den Notebook gewielt huet.
Wou d'Source-Zuel um Ausgang ännert
Huelt en erfonnten IPv4-Beispill: e Client hannert engem iwwersetzende Router, e Server mat engem 'UDP'-Listener an een eenzegen Datagramm, dee béid duerchkräizt. D'Tabell nennt all Enn an dat, wat domat geschitt, amplaz de Paket op dräi Observatiounspunkten nach eng Kéier ofzespillen.
| Endpoint | What stays fixed | What changes on reconnect | Who owns it |
|---|---|---|---|
| Server listener | The service port and the address the profile names | Nothing; the listener does not follow the client | The server operator |
| Client socket | The destination it dials | The local source port, chosen per socket | The client, or its operating system |
| Translated source | Usually the public address of the router | The port, and sometimes the address after a network switch | The NAT device or the upstream carrier |
D'Zil ass a jidder Zeil konstant, an et ännert sech nëmmen d'Identitéit vum Ursprong. Ufuerderunge vun UDP NAT ënnerscheeden eng intern Adress an e Port vun der externer Mapping, an dat ass genee den Abstand tëschent der zweeter an der drëtter Zeil. E Router kann de Source-Port vum Client behalen oder en aneren wielen; d'Behale ass net eppes, wat eng Applikatioun soll unhuelen.
Liest déi dräi Enner vun den Hosts selwer
D'Lëschten hei drënner komme vun dräi verschiddene Maschinnen a weisen zesummen déi ganz Konversatioun. Féiert déi éischt um Server aus, déi zweet um Client an déi drëtt do, wou d'Mapping existéiert. Eng eenzeg Log-Zeil weist ni all dräi.
ss -lunp 'sport = :1194'
ss -unp | grep 1194
conntrack -L -p udp | grep 1194Déi éischt Lëscht beweist, datt de Server un den Déngschtport gebonnen ass, a weist, wéi eng Prozess en huet. Déi zweet weist de lokale Socket vum Client an d'Zil, un dat en appelléiert huet. Déi drëtt weist d'Mapping, déi de Router erstallt huet, an dat ass déi eenzeg Plaz, wou den iwwersetzten Ursprong erschéngt. Liest se an där Reihenfolleg an déi zwou Zuelen hale op, widerspréchlech auszesinn.
Wat eng Neiverbindung ännert, a wat net
Verschidde Routere behalen de Source-Port vum Client, wann en fräi ass, an anerer deelen all Kéier en aneren zou. Béid Verhalen sinn normal, an eng Applikatioun, déi dat éischt verlaangt, wäert um zweete briechen. Eng Ännerung vun der Mapping no enger Neiverbindung oder engem Netzwierkwiessel ass kee Serverfeeler: de Client mécht en neie Socket op, de Router deelt dat aus, wat en huet, an de Server gesäit en neien Ursprong um selwechten Listener. E Feeler wier et, ze erwaarden, datt de Server Verkéier unhëlt, deen un en arbiträre Client-Port adresséiert ass.
D'Clients OpenVPN vun der Communautéit kréien dëst Verhalen duerch nobind, wat dem Betribssystem erlaabt, de lokale Port ze wielen; de wäite Port kënnt ëmmer nach aus dem Profil. Explizit ze bannen ass eng bewosst Entscheedung, keng Protokollfuerderung. De Server bitt weider en Enn un, während d'Clienten hir eege lokal Identitéiten aussichen.
Etikettéiert d'Schichten getrennt am Rekord
Bannen am Tunnel gëtt et eng zweet Konversatioun mat hirem eegene Porten. Eng HTTPS-Ufro, déi den Tunnel dréit, huet d'Zil TCP 443, während d'baussen verschlësselt Verbindung UDP 1194 benotzt, dofir ännert eng Ännerung vum baussenzege Source-Port näischt um bannenzege Déngscht.
Och op der baussenzeger Schicht zielt de Protokoll. UDP 1194 an TCP 1194 si verschidden Enner, an en 'TCP'-Listener kritt ni en UDP-Datagramm, just well d'Zuel iwwerenee stëmmt. Wann Dir eng Deployement dokumentéiert, etikettéiert de Server-Listener, de Client-Socket an den iwwersetzten Ursprong als dräi verschidde Saachen, a füügt bei jiddwereen den Transport bäi.
Dann loosst d'Politik de Rolle folgen. De Server mécht den ugedaachten Transport op sengem Listener op an authentifizéiert nach ëmmer de Peer; d'Firewall vum Client erlaabt Äntwerten op seng eege erausgoend Auswiesselung, ouni en agaangen Déngscht ze publizéieren. En zoustaudlose Filter brauch d'Réckrichtung ausdrécklech, an dat ass de praktesche Grond, firwat d'Ënnerscheedung iwwer propper Diagramme eraus zielt.