Port-Triggering géint Port-Weidergabe fir en Heem-VPN-Server
Triggering mécht eng Kartéierung op no ausgoendem Trafik; Weidergabe kartéiert de Port fir ëmmer. En Heem-VPN-Server brauch déi zweet, begrenzt op den eigentlechen Noleeschter.
Port-Weidergabe a Port-Triggering stinn an deene meeschten Heemrouteren am selwechte Menü, an dofir ginn se als zwee Weeër behandelt fir eng eenzeg Aarbecht. Weidergabe ass eng statesch Regel: eng erakommend Verbindung op e WAN-Port gëtt op eng fest Bannenadress an e feste Port iwwersat, egal ob nach eppes anescht geschitt. Triggering ass bedéngt: de Router kuckt den ausgoenden Trafik a mécht eng erakommend Kartéierung just nodeems eng entspriechend Verbindung erausgeet. E VPN-Server waart drop, datt een aneren als éischte verbënnt, also ass just dës Bedingung dat eenzegt, wat e ni erfëlle ka.
Zwee Regele mat ënnerschiddleche Liewenszyklen
IPv4 NAT ass zoustänneg. Wann en bannenhaften Host e Pak no baussen schéckt, mécht de Router eng Kartéierung, sou datt d'Äntwerten de Wee zréck fannen; e Pak vun dobaussen, dat zu kenger Kartéierung passt, gëtt verwerft, an dëst Verhalen hält en net aktualiséierten Desktop vum Internet fort. Weidergabe ass eng permanent Iwwersetzungsgebuch, déi vun Hand dobäi kënnt. Triggering ass en temporärt Lach, dat vun engem Trafikmuster bewaacht gëtt.
Den prakteschen Ënnerscheed ass d'Zäit. Eng Weidergabe existéiert vum Moment un, wou se gespäichert gëtt, bis een se läscht. Eng getriggerte Kartéierung existéiert nodeems den Trigger lassgeet an zoubaut op engem Idle-Timer, deen op Konsumentenhardware a Minutte gemooss gëtt, oder direkt beim Neistart.
Keen vun deene zwee ass am Abstrakten méi sécher. Eng Weidergabe setzt ee Port dauernd aus; en Trigger setzt en just no bestëmmten ausgoendem Trafik aus. Fir en Déngscht, deen dat éischt Pak vun engem Frieme muss unhuelen, passt just ee vun deenen zwee op d'Aarbecht.
Firwat Triggering kee Server verëffentlecht
E VPN-Server ass vum Design aus passiv. De Partner, sief et en Laptop am Café oder en Telefon op mobilen Donnéeën, schéckt dat éischt Pak, an de Router huet keng Kartéierung dofir. Bannen huet näischt Trafik op de Trigger-Port ugefaangen, dofir geet d'Regel ni lass an d'Verbindung stierft, ier den Handshake ufänkt.
Wou Triggering schéngt ze funktionéieren, mécht eppes anescht Trafik um Trigger-Port: e Client am LAN, eng Iwwerwaachungssonde oder d'eegen ausgoend Kontrollen vum Server. Dunn mécht sech d'Kartéierung just fir deen een Host op a geet zou, wann den Trafik ophält, dofir fällt deen nächsten externen Partner nees duerch, wärend den éischten Erfolleg am Log läit an wéi e Beweis ausgesäit.
Triggering ass och meeschtens e eenzegen Host. Vill Implementéierunge loossen just engem bannenhaften Apparat gläichzäiteg d'Kartéierung halen, wat genau verkéiert ass fir e Server, dee méi Partner soll äntweren. D'Funktioun gouf fir Uwendunge gebaut, déi eng Kontrollverbindung no baussen opmaachen an erakommend Donnéeën op engem zweete Port erwaarden, an se passt nach ëmmer op déi Form.
Wat eng Weidergabe wierklech kartéiert
Eng Weidergabe ass eng eenzeg Iwwersetzungsgebuch: WAN-Port a Protokoll op Bannenadress a Port. Si brauch en Noleeschter, deen op der anerer Säit schonn leeft, a si brauch, datt d'Bannenadress do bleift, wou se ass. En DHCP-Lou, deen op eng aner Maschinn wiesselt, schéckt all Tunnel stëll op de falschen Host, dofir maacht d'Reservatioun virun der Regel.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
De Protokoll ass méi wichteg wéi d'Formulaire et vermudelt. OpenVPN iwwer UDP brauch eng UDP-Weidergabe, WireGuard brauch UDP, an IPsec-Donnéeë komme wéi ESP, IP-Protokoll 50, deen iwwerhaapt keng Porte huet. En Weidergabeformulaire, deen nëmmen TCP oder UDP akzeptéiert, kann dat net ausdrécken, dofir brauch IPsec Passthrough oder eng statesch een-zu-een Kartéierung amplaz vun enger Portregel.
D'Schicht iwwer Ärem Router
Eng Weidergabe kontrolléiert just d'Iwwersetzung, déi Iech gehéiert. Wann d'WAN-Adress net Ärer ass, wat de Fall hannert Carrier-Grade NAT ass, wou Abonnenten 100.64.0.0/10 deelen, wéi et am RFC 6598 beschriwwen ass, dann erreeicht d'Verbindung vum baussen ni Äre Router, well de Provider als éischten iwwersat huet. Keng Regel op Ärem Apparat kann déi Reiefolleg flécken.
Duebel NAT ass dat selwecht Problem a klengem. Äre Router weidergibt un de Router vum Internetprovider, deen keng entspriechend Regel huet an d'Pak verwerft. Entweder setzt Dir d'Regel um baussenzege Apparat dobäi, oder Dir setzt den baussenzege Apparat an de Bridge-Modus an Ären hält d'ëffentlech Adress.
Dofir muss den Test vu bausse kommen. En Test aus dem selwechte LAN iwwer d'ëffentlech Adress hänkt vun der Hairpin-NAT-Ënnerstëtzung of a kann aus Grënn, déi näischt mat der Regel ze dinn hunn, duerchgoen oder feelen; en Telefon op mobilen Donnéeën, oder e Frënd op engem anere Reseau, ass déi méi propper Kontroll.
Begrenzt d'Regel, an dann iwwerpréift béid Hälften
Weidergitt ee Port op eng Adress. E Beräich, deen derbäikoum, well déi éischt Versich gefeelt hunn, ass de Wee, wéi Administratiounsschnëttstellen um Internet landen, an den Noleeschter brauch net d'Admin-Säit vum Router niewendrun publizéiert.
Hält alles, wat deen Noleeschter schonn geschützt huet: Identitéit duerch Zertifikat oder Schlëssel, Host-Firewall, aktuell Pakversiounen. Eng Weidergabe léisst e Pak eran; d'Authentifikatioun entscheet, ob d'Pak en Tunnel gëtt, an dat sinn zwou getrennt Feeler, wann eppes schief geet.
D'Iwwerpréifung huet zwou Hälften. Den Handshake muss vun engem externen Reseau aus ofgeschloss ginn, an dann muss eng privat Ressource hannert dem Server duerch den Tunnel äntwerten. Weidergabe léisst d'Tunnelverbindung eran an näischt méi; Routing an Autorisatioun fir 10.8.0.0/24 sinn eng aner Astellung op engem aneren Ecran.
Entscheet mat dräi Froen
Dräi Froen entscheeden d'Wiel méi séier wéi all Vergläichstabell:
- Verbënnt eppes vu bausse als éischt Pak? Dann benotzt Weidergabe, oder e Relais. Triggering kann net opmaachen ouni ausgoenden Trafik, deen et ni gëtt.
- Muss d'Lach d'Idle-Zäit iwwerliewen? Dann benotzt Weidergabe, well eng getriggerte Kartéierung no hirem eegene Plang zoubaut.
- Ass d'WAN-Adress Ärer fir se ze publizéieren? Wann net, fléckt d'Schicht driwwer, ier Dir eng Regel ännert.
Wann d'Äntwert op all dräi nee ass, wat de Fall vun engem Laptop ass, dee selwer e kommerzielle Provider urifft, da brauch een keng vun deenen zwou Regele. E Client hannert NAT funktionéiert, well en d'Kartéierung selwer mécht, an dat deckt déi meescht Leit of, déi um Mëtternuecht eng Säit iwwer Port-Weidergabe liesen.