Portu trigeris pret portu pāradresēšanu mājas VPN serverim

Portu pāradresēšana un portu trigeris atrodas vienā izvēlnē lielākajā daļā mājas maršrutētāju, tāpēc tos uzskata par diviem viena darba veidiem. Pāradresēšana ir statisks noteikums: ienākošais savienojums uz WAN portu tiek pārtulkots fiksētā iekšējā adresē un portā, neatkarīgi no tā, vai notiek vēl kaut kas. Trigeris ir nosacīts: maršrutētājs vēro izejošo plūsmu un atver ienākošo kartējumu tikai pēc tam, kad iziet atbilstošs savienojums. VPN serveris gaida, kamēr kāds cits pieslēdzas pirmais, tāpēc tieši šis nosacījums ir vienīgais, ko tas nekad nevar izpildīt.

Divi noteikumi ar atšķirīgiem dzīves cikliem

IPv4 NAT ir ar stāvokli. Kad iekšējais resursdators nosūta pakešu datni uz āru, maršrutētājs izveido kartējumu, lai atbildes atrastu ceļu atpakaļ; ienākošā datne, kas neatbilst nevienam kartējumam, tiek izmesta, un tieši šī uzvedība tur neielāgotu darbvirsmu ārpus interneta. Pāradresēšana ir pastāvīgs tulkošanas ieraksts, kas pievienots ar roku. Trigeris ir pagaidu caurums, ko sargā plūsmas modelis.

Praktiskā atšķirība ir laiks. Pāradresēšana pastāv no saglabāšanas brīža, līdz kāds to izdzēš. Trigerētais kartējums pastāv pēc tam, kad trigeris iedarbojas, un aizveras pēc dīkstāves taimera, kas patērētāju aparatūrā tiek mērīts minūtēs, vai nekavējoties pārstartējot.

Neviens nav drošāks abstrakti. Pāradresēšana nepārtraukti atsedz vienu portu; trigeris to atsedz tikai pēc noteiktas izejošās plūsmas. Pakalpojumam, kam jāpieņem pirmā datne no svešinieka, der tikai viens no abiem.

Kāpēc trigeris nepubliskos serveri

VPN serveris pēc uzbūves ir pasīvs. Otra puse, vai tā būtu klēpjdators kafejnīcā vai tālrunis mobilajos datos, nosūta pirmo datni, un maršrutētājam nav tam paredzēta kartējuma. Nekas iekšpusē nesāka plūsmu uz trigera portu, tāpēc noteikums nekad neiedarbojas un savienojums mirst pirms rokas paspiešanas sākuma.

Tur, kur trigeris šķietami strādā, plūsmu uz trigera portu rada kaut kas cits: klients LAN tīklā, uzraudzības zonde vai paša servera izejošās pārbaudes. Tad kartējums atveras šim vienam resursdatoram un aizveras, kad plūsma apstājas, tāpēc nākamā ārējā puse atkal cieš neveiksmi, kamēr pirmā veiksme stāv žurnālā un izskatās pēc pierādījuma.

Trigeris parasti ir arī vienam resursdatoram. Daudzas implementācijas ļauj kartējumu vienlaikus turēt tikai vienai iekšējai ierīcei, kas ir pilnīgi nepareizi serverim, kam jāatbild vairākām pusēm. Funkcija tika veidota lietojumprogrammām, kas atver vadības savienojumu uz āru un gaida ienākošos datus otrajā portā, un tā joprojām atbilst šai formai.

Ko pāradresēšana patiesībā kartē

Pāradresēšana ir viens tulkošanas ieraksts: WAN ports un protokols uz iekšējo adresi un portu. Tai vajadzīgs klausītājs, kas jau darbojas otrā galā, un vajadzīgs, lai iekšējā adrese paliktu savā vietā. DHCP noma, kas pārceļas uz citu mašīnu, klusi nosūta katru tuneli nepareizajam resursdatoram, tāpēc izveidojiet rezervāciju pirms noteikuma.

Protokols ir svarīgāks, nekā liek domāt forma. OpenVPN uz UDP prasa UDP pāradresēšanu, WireGuard prasa UDP, un IPsec dati ierodas kā ESP, IP protokols 50, kam vispār nav portu. Pāradresēšanas forma, kas pieņem tikai TCP vai UDP, to nevar izteikt, tāpēc IPsec vajag passthrough vai statisku viens-pret-vienu kartējumu porta noteikuma vietā.

Slānis virs jūsu maršrutētāja

Pāradresēšana kontrolē tikai to tulkojumu, kas pieder jums. Ja WAN adrese nav jūsu, kā tas ir aiz operatora NAT, kur abonenti dala 100.64.0.0/10, kā aprakstīts RFC 6598, ienākošais savienojums nekad nesasniedz jūsu maršrutētāju, jo pakalpojumu sniedzējs pārveidoja pirmais. Neviena noteikuma jūsu ierīcē nevar izlabot šo kārtību.

Dubultais NAT ir tā pati problēma mazā mērogā. Jūsu maršrutētājs pāradresē uz ISP maršrutētāju, kuram nav atbilstoša noteikuma un kas datni izmet. Vai nu pievienojiet noteikumu ārējā ierīcē, vai pārslēdziet ārējo ierīci tilta režīmā un ļaujiet savējam turēt publisko adresi.

Tāpēc testam jānāk no ārpuses. Tests no tā paša LAN caur publisko adresi ir atkarīgs no hairpin NAT atbalsta un var izdoties vai neizdoties ar noteikumu nesaistītu iemeslu dēļ; tālrunis mobilajos datos vai draugs citā tīklā ir tīrāka pārbaude.

Ierobežojiet noteikumu, tad pārbaudiet abas puses

Pāradresējiet vienu portu uz vienu adresi. Diapazons, kas pievienots tāpēc, ka pirmie mēģinājumi neizdevās, ir ceļš, kā pārvaldības saskarnes nonāk internetā, un VPN klausītājam nav vajadzīga blakus publicēta maršrutētāja administrēšanas lapa.

Saglabājiet visu, kas jau aizsargāja šo klausītāju: identitāti pēc sertifikāta vai atslēgas, resursdatora ugunsmūri, aktuālās pakotņu versijas. Pāradresēšana ielaiž datni; autentifikācija izlemj, vai datne kļūs par tuneli, un tie ir divi atsevišķi bojājumi, kad kaut kas noiet greizi.

Pārbaudei ir divas puses. Rokasspiešanai jāpabeidzas no ārēja tīkla, un tad privātam resursam aiz servera jāatbild caur tuneli. Pāradresēšana ielaiž tuneļa savienojumu un neko vairāk; maršrutēšana un autorizācija 10.8.0.0/24 tīklam ir cits iestatījums citā ekrānā.

Izlemiet ar trim jautājumiem

Trīs jautājumi izšķir izvēli ātrāk nekā jebkura salīdzināšanas tabula:

• Vai kaut kas pieslēdzas no ārpuses kā pirmā datne? Tad izmantojiet pāradresēšanu vai releju. Trigeris nevar atvērties bez izejošās plūsmas, kuras nekad nebūs.
• Vai caurumam jāpārdzīvo dīkstāves laiks? Tad izmantojiet pāradresēšanu, jo trigerētais kartējums aizveras pēc sava grafika.
• Vai WAN adrese ir jūsu, lai to publicētu? Ja nav, izlabojiet slāni virs pirms jebkura noteikuma rediģēšanas.

Ja atbilde uz visiem trim ir nē, kā tas ir klēpjdatoram, kas pats zvana komerciālam pakalpojumu sniedzējam, nevajag nevienu no diviem noteikumiem. Klients aiz NAT strādā tāpēc, ka pats izveido kartējumu ar stāvokli, un tas aptver lielāko daļu cilvēku, kas pusnaktī lasa lapu par portu pāradresēšanu.