Firwat de DNS-Äntwert un enger zustandsloser VPN-Edge-Firewall feelt

Den Tunnel steet, d'Cliente kommen op de VPN-Host, an den Host kann näischt opléisen. Seng eegen ausgänglech Ufroen verloossen d'Interface propper, dofir läit de Feeler um Réckwee: un enger ieweschter Edge, déi erakommend Traffic filtert, ouni sech ze erënneren, wat den Host just geschéckt huet. Den Tunnelport ze erlaben beschreift deen Austausch guer net. D'Äntwert op eng DNS-Ufro ass en eegene Flux, a wann d'Edge zustandslos ass, huet näischt him erlaabt zeréckzekommen.

Déi zwou Austauscher sinn net déiselwecht Austausch

Schreift d'Tupelen op, an de Feeler gëtt evident. Den Destinatiounsport vun der Ufro gëtt de Quellport vun der Äntwert, wat d'Géigendeel vun deem ass, wat déi meescht Leit sech virstellen, wa se eng erakommend Reegel fir Port 53 dobäisetzen:

query:  203.0.113.10:53018 -> 198.51.100.53:53
reply:  198.51.100.53:53 -> 203.0.113.10:53018

Eng erakommend Reegel, déi Destinatiounsport 53 verlaangt, beschreift Traffic, deen un en DNS-Lauschterer adresséiert ass, deen um Host leeft, an dat ass eng ganz aner Servicer. Déi Adressen sinn Dokumentatiounsbeispiller, an de Quellport gëtt vum Client fir all Ufro gewielt, dofir ass et kee Wäert, deen een an eng Reegel kopéiere kann an erwaarden, datt en weider funktionéiert.

Zustandslos Edge géint zustandsbehaftete Host-Firewall

En zustandslosen Edge-Filter bewäert all erakommend Paket géint seng Reegellëscht, ouni eng Verbindungstabell hannendrun. Eng ausgänglech Ufro, déi erfollegräich erausgaang ass, schaaft keng Erlaabnes fir hir erakommend Äntwert, well d'Apparat keng Opzeechnung huet, datt et iergendwann eng Ufro gouf. Eng zustandsbehaftete Host-Firewall ass d'Géigendeel: hir Verbindungsverfolgung erkennt den Récktraffic vun engem erlaabten Austausch a léisst en ouni Reegel fir d'Äntwert duerch. Béid Grenzen existéieren an engem typesche Wee, an béid mussen dat virgesinnent Paket erlaben.

De Verglach ass wichteg, well déi zwou Apparater ënnerschiddlech feelen. Eng zustandsbehaftet Firewall, déi d'Äntwert verweigert, protokolléiert en Drop; eng zustandslos Edge verweigert se stëll, dofir geet den Host einfach an en Timeout.

Baut d'Erlaabnes ëm de Protokoll, net ëm eng Portnummer

Beschränkt d'Reegel op déi richteg Adresse vum Oplöser, den Destinatiounshost an d'Politik vum Empfangsport, déi de Produkt ënnerstëtzt. Denkt och un den TCP-Wee vum DNS, well eng grouss Äntwert oder en Zeréckfall wéinst Kierzung den Austausch op TCP verréckelt an eng Reegel nëmme fir UDP en net deckt. Wann d'Edge zustandsbehaftete Kontroll fir en definéierte Flux ënnerstëtzt, préifert deen iwwer enger handgeschriwwener Äntwertreegel, well de zustandsbehaftete Wee automatesch de Porte follegt, déi de Client gewielt huet.

Bestätegt duerno, wéi ee Produkt am Wee den Traffic tatsächlech filtert. En dokumentéierte IPv4-Edge-Beräich setzt keng IPv6-Politik op, an den interne Traffic vum Provider geet vläicht ni duerch deeselwechte Filter.

Firwat et keng Léisung ass, all Quellport 53 z'erlaben

Eng Reegel, déi alles akzeptéiert, wat behaapt Quellport 53 ze hunn, ass eng Reegel, déi akzeptéiert, wat en Absender an en Headerfeld schreift. D'Portnummer authentifizéiert den Absender net a beweist net, datt d'Payload eng gülteg Äntwert ass, dofir vergréissert d'Reegel d'Expositioun vum Host, ouni d'Opléisung zouverlässeg ze maachen. Behällt Quellbeschränkungen a behält dem Client seng eegen Äntwertpréifungen, inklusiv d'Zoufallsofbindung vum Quellport, amplaz se ofzeschalten, fir eng Zougangslëscht ze vereinfachen.

Wann den Oplöser e Service ass, deen Dir kontrolléiert, ass et genuch, him op seng Adressen ze beschränken. Wann et en ëffentlechen Oplöser ass, beschränkt op déi Adressen, déi Dir guttgeheescht hutt, a schreift se an de Kommentar vun der Reegel.

Iwwerpréift op der richteger Grenz, an der richteger Richtung

Fänkt um Host an un der Edge déiselwecht Ufro of, a vergläicht d'Tupelen amplaz vun de Paketzuelen. Eng Ufro, déi op béide Säiten ze gesinn ass, ouni Äntwert op der Hostsäit, weist op den erakommenden Filter; eng Ufro, déi nëmmen op der Hostsäit ze gesinn ass, weist op d'Routage oder den Oplöser selwer. Widderhëlt et mat enger TCP-Ufro, wann Dir nëmmen eng UDP-Erlaabnes hutt, well genee dat ass d'Lück, déi den éischten Test net ka gesinn.

Dëst ze reparéieren fäerdeg mécht en DNS-Austausch, deen den Host wierklech brauch. Et mécht den Host keen ëffentlechen Oplöser, et erlaabt keng virugeleedelt VPN-Fluxen, an et beweist net, datt DNS d'Ursaach vun engem onzoumenhängende Tunnelproblem war.