Тригер на порта наспроти проследување на порта за домашен VPN сервер

Проследување на порта и тригер на порта стојат во истото мени на повеќето домашни рутери, па затоа се третираат како два начина за една иста работа. Проследувањето е статичко правило: влезна врска на WAN порта се преведува на фиксна внатрешна адреса и порта, без разлика дали се случува нешто друго. Тригерот е условен: рутерот го следи излезниот сообраќај и отвора влезно мапирање само откако ќе излезе соодветна врска. VPN серверот чека прво некој друг да се поврзе, па токму тој услов е единственото нешто што никогаш не може да го исполни.

Две правила со различни животни циклуси

IPv4 NAT чува состојба. Кога внатрешен домаќин испраќа пакет надвор, рутерот создава мапирање за да најдат одговорите пат назад; влезен пакет што не одговара на ниту едно мапирање се отфрла, и токму тоа однесување го држи неажурираната работна површина надвор од интернет. Проследувањето е траен запис за превод додаден рачно. Тригерот е привремена дупка чувана од шема на сообраќај.

Практичната разлика е времето. Проследувањето постои од моментот кога ќе се зачува додека некој не го избрише. Тригерираното мапирање постои откако тригерот ќе се активира и се затвора на тајмер за неактивност, мерен во минути на потрошувачки хардвер, или веднаш при рестарт.

Ниту едно не е побезбедно апстрактно. Проследувањето изложува една порта постојано; тригерот ја изложува само по одреден излезен сообраќај. За услуга што мора да го прими првиот пакет од странец, само едно од двете одговара на работата.

Зошто тригерот нема да објави сервер

VPN серверот е пасивен по дизајн. Другата страна, било да е лаптоп во кафуле или телефон на мобилни податоци, го испраќа првиот пакет, а рутерот нема мапирање за него. Ништо внатре не започна сообраќај кон портата на тригерот, па правилото никогаш не се активира и врската умира пред да почне ракувањето.

Каде тригерот изгледа дека работи, нешто друго создава сообраќај на портата на тригерот: клиент во LAN, сонда за надзор или самите излезни проверки на серверот. Тогаш мапирањето се отвора за тој еден домаќин и се затвора кога сообраќајот ќе запре, па следната надворешна страна повторно не успева, додека првиот успех стои во дневникот и изгледа како доказ.

Тригерот обично е и за еден домаќин. Многу имплементации дозволуваат само еден внатрешен уред да го држи мапирањето во даден момент, што е сосема погрешно за сервер што треба да одговори на неколку страни. Функцијата е создадена за апликации што отвораат контролна врска надвор и очекуваат влезни податоци на втора порта, и понатаму одговара на таа форма.

Што всушност мапира проследувањето

Проследувањето е еден запис за превод: WAN порта и протокол кон внатрешна адреса и порта. Му треба слушател што веќе работи на другата страна и му треба внатрешната адреса да остане на место. DHCP закупот што се преместува на друга машина тивко го испраќа секој тунел на погрешен домаќин, па создајте резервација пред правилото.

Протоколот е поважен отколку што сугерира формата. OpenVPN преку UDP бара UDP проследување, WireGuard бара UDP, а податоците на IPsec пристигнуваат како ESP, IP протокол 50, кој воопшто нема порти. Форма за проследување што прима само TCP или UDP не може да го изрази тоа, па IPsec бара passthrough или статичко мапирање еден-на-еден наместо правило за порта.

Слојот над вашиот рутер

Проследувањето управува само со преводот што е ваш. Ако WAN адресата не е ваша, што е случај зад NAT на оператор каде претплатниците делат 100.64.0.0/10 како што е опишано во RFC 6598, влезната врска никогаш не стигнува до вашиот рутер затоа што давателот прв превел. Ниту едно правило на вашиот уред не може да го поправи тој редослед.

Двоен NAT е истиот проблем во мали размери. Вашиот рутер проследува кон рутерот на ISP, кој нема соодветно правило и го отфрла пакетот. Или додајте го правилото на надворешниот уред, или ставете го надворешниот уред во режим на мост и оставете вашиот да ја држи јавната адреса.

Затоа тестот мора да дојде однадвор. Тест од истиот LAN преку јавната адреса зависи од поддршка на hairpin NAT и може да помине или да не успее од причини несврзани со правилото; телефон на мобилни податоци или пријател на друга мрежа е почиста проверка.

Ограничете го правилото, потоа проверете ги двете половини

Проследете една порта кон една адреса. Опсегот додаден затоа што првите обиди не успеаја е начинот на кој административните интерфејси завршуваат на интернет, а слушателот на VPN не бара објавена администраторска страница на рутерот до себе.

Задржете сето она што веќе го штитело тој слушател: идентитет по сертификат или клуч, хост огнено ѕид, тековни верзии на пакетите. Проследувањето пушта пакет внатре; автентикацијата одлучува дали пакетот ќе стане тунел, и тоа се два одделни неуспеси кога нешто тргне наопаку.

Проверката има две половини. Ракувањето мора да заврши од надворешна мрежа, а потоа приватен ресурс зад серверот мора да одговори низ тунелот. Проследувањето ја пушта врската на тунелот и ништо повеќе; рутирањето и авторизацијата за 10.8.0.0/24 се друга поставка на друг екран.

Одлучете со три прашања

Три прашања го решаваат изборот побрзо од секоја споредбена табела:

• Дали нешто се поврзува однадвор како прв пакет? Тогаш користете проследување или реле. Тригерот не може да се отвори без излезен сообраќај што никогаш нема да постои.
• Дали дупката мора да го надживее времето на неактивност? Тогаш користете проследување, зашто тригерираното мапирање се затвора по сопствен распоред.
• Дали WAN адресата е ваша за да ја објавите? Ако не е, поправете го слојот над пред да уредите било какво правило.

Ако одговорот на сите три е не, што е случај со лаптоп што сам се јавува на комерцијален давател, не е потребно ниту едно од двете правила. Клиентот зад NAT работи затоа што сам го создава мапирањето со состојба, и тоа ги опфаќа повеќето луѓе што читаат страница за проследување на порти на полноќ.