Wéi eng VPN-Porte soll een an enger Firewall opmaachen: Protokoll fir Protokoll

Zwee getrennt Reegele entscheeden, ob en VPN-Tunnel eng Firewall iwwersteet: de Port, deen de Client uwielt, an de Protokoll, deen d'Laascht dréit. Maach just déi éischt op, an den Tunnel authentifizéiert sech, awer da beweegt sech keng Datene méi. D'Minimum ass een TCP-Port plus GRE fir PPTP, zwee UDP-Porte plus ESP fir L2TP/IPsec an IKEv2, an een eenzegen Port fir SSTP, OpenVPN a WireGuard. Richtung, Zoustandsuerdnung an NAT entscheeden de Rescht.

Fänk mam Port un, deen de Client uwielt

All Famill huet en Agangspunkt, deen de Client als éischten ustéisst, an genau deen Agangspunkt muss deng Erlaabnes-Reegel nennen. PPTP-Cliënte verbannen sech mat TCP 1723. L2TP/IPsec fänkt IKE op UDP 500 un an wiesselt op UDP 4500, soubal NAT-Traversal am Asaz ass, wougéint den L2TP-Rahmen selwer op UDP 1701 am Tunnel läit. SSTP wéckelt d'Sessioun an TLS op TCP 443, IKEv2 verhandelt op UDP 500 an 4500, OpenVPN benotzt standardmässig UDP 1194, gëtt awer dacks op TCP 443 verréckelt, an WireGuard lauschtert op UDP 51820.

Behandel déi Zuelen als Standardwäerter an net als fest Eegenschaften. Eng WireGuard-Schnittstell benotzt de Lauschport, deen hir Konfiguratioun ugëtt, an en OpenVPN-Server kann op all Port sëtzen, deen den Administrateur gewielt huet. Liest d'Serverkonfiguratioun, ier s du d'Reegel schreifs, well eng Firewall, déi fir 1194 opgemaach gouf, näischt fir en Server mécht, deen op 443 geplënnert gouf.

Déi drëtt Kolonn ass, wou déi meescht Ännerungs-Tickete schief ginn. D'Reegel existéiert, awer si weist op de falschen Zil, déi falsch Richtung oder den falschen Transport.

GRE an ESP sinn Protokollnummeren, net Porten

GRE an ESP hunn iwwerhaapt keng Porte fir sech, dofir kann e Firewall-Formulaire, deen nëmme Portnummeren unhëlt, se net ausdrécken. GRE ass IP-Protokoll 47 an ESP ass IP-Protokoll 50, béid ginn iwwer d'Protokollfeld vum IP-Kapp verglach. Eng Reegel, déi als TCP-Port 47 geschriwwen ass, passt op näischt, an esou gesäit eng PPTP-Politik richteg aus an verwërft trotzdem all Pak nom Handschlag.

Consumer-Router verstoppen dat hannert enger Passthrough-Checkbox, déi d'Protokoll-Reegel installéiert an, fir GRE, de NAT-Helfer, deen néideg ass fir de Floss ze mappen. Op enger richteger Firewall setzt du de Protokoll selwer dobäi: erlaab IP-Protokoll 47 op de PPTP-Server, erlaab IP-Protokoll 50 op den IPsec-Gateway. Wou d'Plattform kee Protokollfeld ubitt, ass Encapsulation de Wee dobaussen, dofir kann IKEv2 op UDP 4500 zréckfalen an dofir stoussen OpenVPN an WireGuard ni op de Problem.

Kuck, wourop d'Reegel tatsächlech passt, ier s du de Client beschëllegs. En Pakzähler, deen um Gateway op null bleift, seet, datt d'Reegel ni ausgeléist gouf, an et ännert näischt, wéi dacks een um Client seng Säit nei installéiert.

Richtung, Zoustand an NAT ännere d'Äntwert

En Client, deen no bausse wielt, an en Gateway, deen no bannen lauschtert, sinn ënnerschiddlech Ufuerderungen, an déiselwecht Portlëscht kann an déi eng Richtung richteg an an déi aner falsch sinn. Eng stateful Firewall verfollegt den UDP-Floss op 500 an 4500 an erlaabt Äntwerten zréck ouni eng zweet Reegel. ESP an GRE droen keng Porten, dofir huet en NAT-Apparat näischt, wou en sech ukrämme kann, an et brauch en Hëllefsprogramm oder eng Encapsulation, fir d'Sessioun ze verfollegen.

NAT-Traversal ass deen Deel, deen dacks vergiess gëtt. IKEv2 fänkt op UDP 500 un, erkennt en NAT-Apparat a setzt op UDP 4500 weider, dofir gëtt eng Politik, déi nëmmen 500 erlaabt, en Tunnel, dee sech opbaut an duerno stëll gëtt. L2TP/IPsec mécht déi selwecht Bewegung. Wann deng Opnam den éischten Austausch weist, awer keen anhalenden Traffic, sief no enger Reegel, déi op 500 ophält.

Schreif d'Richtung bei all Reegel dobäi. „Erlaab UDP 4500“ heescht näischt, bis s du soos vu wou op wou, an eng Reegel, déi fir e wandernde Client richteg ass, ass meeschtens falsch fir e Site-zu-Site-Partner.

Iwwerpréif all Wee mat enger Opnam

Fuersch d'Opnam um Gateway, net um Client: e Client registréiert nëmmen dat, wat ukomm ass. Dës Filtere decken d'Familljen uewendriwwer of an weisen, wéi eng Etapp feelt:

sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50

Liest d'Ausgab als eng Sequenz. Wann d'Verhandlung opdaucht, awer de Laascht-Protokoll net, geschitt de Verloscht iergendwou tëscht Client a Gateway. Wann béid opdauchen an d'Säit nach ëmmer feelt, ass d'Firewall net méi verdächteg; kuck op Routing, DNS oder de Pool vun Adressen, deen de Client kritt huet.

Op enger Këscht ouni tcpdump kommen déiselwecht Beweiser aus Interface- an Reegelzähler. Bytes, déi era kommen, awer net eraus op der Tunnel-Schnittstell, deiten op de Réckwee hin an net op déi ursprénglech Erlaabnes-Reegel.

Looss e Reegel-Set zeréck, deen s du verdeedegen kanns

SSTP op TCP 443 ass fir all portbaséierte Filter net vun gewéinlechem HTTPS z'ënnerscheeden, an dat ass de Punkt, wann en Netzwierk nëmme Webtraffic erlaabt. Och dofir soll d'443-Reegel de Gateway als Zil nennen an net dat ganzt Internet. Läsch temporär Reegelen vun iergendwou-op-iergendwou, soubal den Tunnel funktionéiert. Schrëft op, wéi eng Reegel gepasst huet, d'Protokollnummer wou et eng gëtt, an d'Richtung, fir datt déi nächst Persoun vun de Beweiser ufänkt.

Cloud-Gateways vu Punkt op Site maachen d'Wiel sichtbar: de erofgeluedene Profil benotzt entweder SSTP op 443 oder IKEv2 op 500 an 4500, an du solls nëmmen deen opmachen, deen de Profil tatsächlech wielt. PPTP ass d'GRE-Ausnam an engem moderne Netz net wäert, well Mobilfunkbetreiber de Protokoll 47 dacks verwërfen, onofhängeg vun denger Firewall. Ier s du den Ticket zouméchs, bestätegt, datt d'Reegel zum Port an der Serverkonfiguratioun passt, datt d'Protokollfeld do gesat ass, wou d'Famill et brauch, an datt den Zil de Gateway ass an net iergendeng Adress.