Fixéiert UDP-Porten kënnen d'Port-Weiderleedung iwwersprangen, awer net all NAT

Zwee Heemrouter, keng weidergeluede Porten, an eng VPN déi heiansdo awer verbënnt. UDP erlaabt dat, well eng Firewall e Paket duerchléisst, dat se mat engem Flux ofgläiche kann, deen d'Maschinn schonn ugefaangen huet. Et ass en ënnerleete Knäppchen, keng Funktioun, an d'Konditioune sinn einfach ze nennen, wann ee weess wat d'Firewall vergläicht. Si sinn och de Grond, firwat identesch Profiller op ënnerschiddlechen Netzwierker anescht reagéieren.

De Verglach deen eng Firewall mécht

Jiddwer erausgehend Datagramm schaaft en Eintrag vu kuerzer Dauer: Quelladress, Quellport, Ziladress, Zilport. Alles wat ukommt an zum Eintrag passt, gëtt als Äntwert behandelt an duerchgelooss. Regele fir agaangend Verkéier spillen dobäi keng Roll.

D'Fro ass also net, ob d'Firewall de Partner eraloosst. D'Fro ass, ob dem Partner säi Paket wéi déi Äntwert ausgesäit, op déi den Eintrag waart. Ännert ee Feld vun där véierdeeleger Tuple, an de Paket gëtt en Auslänner. Dofir kann eng Ariichtung, déi funktionéiert, briechen, wann nëmmen d'Portnummer sech ännert, an dofir kann dee selwechte Port op engem Router funktionéieren an um nächsten net.

Fixéiert de lokale Quellport, an déiselwecht Nummer erschéngt op béide Säite vum Austausch. Dat ass de ganzen Mechanismus, an et erklärt firwat den Trick brécheg an net mysteriéis ass.

Ee Port op jiddwerer Säit fixéieren

OpenVPN seng Standard-UDP-Port ass 1194, an lport setzt de Quellport, vun deem aus gesent gëtt. Fixéiert béid Partner an den erausgehenden Tuple vun jiddwerengem weist op e Port, op deem deen aneren lauschtert:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Dat funktionéiert nëmme soulaang wéi keen Router tëschent hinnen de Quellport nei schreift. Wann Pakete an engem Mitschnëtt optauchen, awer keen Tunnel opgeet, ass d'Neischreiwen den éischte Verdacht.

Wou d'Tuple ophält ze passen

En NAT deen pro Zil mappt, gëtt jiddwerem Partner en aneren externen Port. D'Adress déi Ärem Partner gesot gouf ze benotzen ass net d'Adress déi hien erreecht, also passt dee kommende Paket op näischt a gëtt stëll verweidert.

D'Iwwersetzung um Bedreiwer-Niveau, gestapelte NAT a Port-Zoufall enden all gläich. Sou och jiddwer Mëttelbox déi Porten nei schreift an d'Adressen a Rou léisst.

Stroumtransporten hunn et méi schlecht. En TCP-Handshake gëtt Schrëtt fir Schrëtt verfollegt, also kann eng TCP-baséiert VPN sou guer net duerchgestouss ginn a brauch engem Lauschterer iergendwou um Wee.

Meistens versot eng Säit als éischt

An der Praxis behuelen sech déi zwou Netzwierker selten gläich. Ee Router kann eng viraussobar Mapping ginn, während deen aneren Porten pro Zil gëtt, an d'Resultat ass eng Konfiguratioun déi tëschent zwee Stéit funktionéiert an aus engem Mobilnetz versot. Rapporten déi sech widerspriechen beschreiwen normalerweis zwee verschidde Routerpuer. Keen Auteur läit falsch, a keng vun den zwee Resultater léisst sech verallgemengeren.

Fannt eraus wéi eng Säit de Paket fale gelooss huet, ier Dir d'Profiller ufässt. Mitschnëtter op béiden Enden entscheeden dat an engem Versuch: Datagrammen déi A verloossen an B ni erreechen heeschen datt de Flux ënnerwee nei geschriwwe gouf, während Datagrammen déi zu B ukommen ouni datt eng Äntwert zréckkënnt heeschen datt d'Firewall se net als verbonne akzeptéiert huet.

Zwee Partner mat ëffentlechen IPv6-Adressen ëmgoen de ganze Problem. Ouni Iwwersetzung gëtt et näischt ze vergläichen, also genuch eng Firewallregele déi d'Partner nennt, an den Design hält op vum Routerverhalen ofzegoen.

Wéini een opgëtt

En Host mat enger ëffentlecher Adress ass déi zouverléisseg Äntwert. Hien kann den Tunnel fir béid Partner terminéieren, oder einfach hëllefen hir aktuell extern Adress vum aneren ze fannen, an béid Arrangementer funktionéieren egal wat d'NATen maachen. Eng geréiert Overlay bitt déiselwecht Koordinatioun wann d'Politik et erlaabt.

Keen vun dësen brauch eng ausgeschalt Firewall. D'Protectioun ausschalten fir déi direkt Verbindung ze gewannen verwërft de Grond firwat den direkten Versuch attraktiv war, an et léisst d'Maschinn fir déi ganzt Dauer vum Test op.

Probéiert d'direkt Arrangement als éischt, a schreift dann op wat Dir gesinn hutt. D'NAT-Verhalen an de Mitschnëtt deen et gewisen huet si méi wäert wéi d'Portpaar dat Dir schlussendlech benotzt hutt, well dat nächst Netzwierk anescht wäert sinn. OpenVPN 2.6 Handbuch dokumentéiert lport an d'remote-Optiounen op déi dat sech stäipt.