Кои VPN порти да се отворат на огнен ѕид: протокол по протокол

Две одделни правила одлучуваат дали еден VPN тунел ќе преживее огнен ѕид: портата што клиентот ја бира и протоколот што го носи товарот. Отворете само првото и тунелот ќе се автентифицира, а потоа нема да пренесува податоци. Минимумот е една TCP порта плус GRE за PPTP, две UDP порти плус ESP за L2TP/IPsec и IKEv2, и една порта за SSTP, OpenVPN и WireGuard. Насоката, следењето на состојбата и NAT одлучуваат за останатото.

Започнете од портата што клиентот ја бира

Секое семејство има влезна точка што клиентот прво ја контактира, и токму таа влезна точка треба да ја именува вашето правило за дозвола. PPTP клиентите се поврзуваат на TCP 1723. L2TP/IPsec започнува IKE на UDP 500 и преминува на UDP 4500 кога се користи пробивање низ NAT, а самата L2TP рамка е на UDP 1701 внатре во тунелот. SSTP ја завиткува сесијата во TLS на TCP 443, IKEv2 преговара на UDP 500 и 4500, OpenVPN стандардно користи UDP 1194 но често се преместува на TCP 443, а WireGuard слуша на UDP 51820.

Третирајте ги тие бројки како стандардни вредности, а не како фиксни својства. Интерфејсот WireGuard користи која и да е порта за слушање што ја објавува неговата конфигурација, а серверот OpenVPN може да стои на која и да е порта што ја избрал администраторот. Прочитајте ја конфигурацијата на серверот пред да го напишете правилото, бидејќи огнен ѕид отворен за 1194 не прави ништо за сервер преместен на 443.

Третата колона е местото каде што повеќето барања за промена тргнуваат погрешно. Правилото постои, но покажува на погрешна дестинација, погрешна насока или погрешен транспорт.

GRE и ESP се протоколарни броеви, не порти

GRE и ESP воопшто немаат порти, па формуларот на огнениот ѕид што прифаќа само броеви на порти не може да ги изрази. GRE е IP протокол 47, а ESP е IP протокол 50, и двете се совпаѓаат преку полето за протокол во IP заглавјето. Правило напишано како TCP порта 47 не совпаѓа со ништо, и така политиката за PPTP изгледа исправна, а сепак го отфрла секој пакет по ракувањето.

Домашните рутери го кријат ова зад поле за проверка за пропуштање што го поставува правилото за протокол и, за GRE, помошникот за NAT потребен за мапирање на текот. На вистински огнен ѕид протоколот го додавате сами: дозволете IP протокол 47 кон серверот PPTP, дозволете IP протокол 50 кон порталот IPsec. Каде платформата не нуди поле за протокол, излезот е инкапсулација, затоа IKEv2 може да се врати на UDP 4500 и затоа OpenVPN и WireGuard никогаш не го сретнуваат проблемот.

Проверете со што правилото навистина се совпаѓа пред да го обвините клиентот. Бројач на пакети што останува на нула на порталот вели дека правилото никогаш не се активирало, и никакво преинсталирање на страната на клиентот тоа не го менува.

Насоката, состојбата и NAT го менуваат одговорот

Клиент што бира кон надвор и портал што слуша навнатре се различни барања, и истата листа на порти може да биде точна во една насока и погрешна во другата. Огнен ѕид со состојба го следи текот на UDP на 500 и 4500 и ги пушта одговорите назад без второ правило. ESP и GRE не носат порти, па уредот за NAT нема за што да се фати и му треба помошник или инкапсулација за да ја следи сесијата.

Пробивањето низ NAT е делот што се пропушта. IKEv2 започнува на UDP 500, открива уред за NAT и продолжува на UDP 4500, па политика што дозволува само 500 дава тунел што се воспоставува и потоа замолчува. L2TP/IPsec го прави истиот потег. Ако вашето снимање го покажува првото разменување но не и постојан сообраќај, побарајте правило што запира на 500.

Запишете ја насоката со секое правило. „Дозволи UDP 4500“ не значи ништо додека не кажете од каде до каде, а правило точно за клиент во движење обично е погрешно за партнер место-кон-место.

Проверете го секој пат со снимање

Пуштете го снимањето на порталот, не на клиентот: клиентот запишува само што пристигнало. Овие филтри ги покриваат семејствата погоре и покажуваат која етапа недостасува:

sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50

Читајте го излезот како низа. Кога преговорите се појавуваат, а протоколот на товарот не, отфрлањето се случува некаде меѓу клиентот и порталот. Кога се појавуваат двете, а страницата сепак не успева, огнениот ѕид повеќе не е осомничен; погледнете рутирање, DNS или базенот на адреси даден на клиентот.

На машина без tcpdump истите докази ги даваат бројачите на интерфејсот и правилата. Бајти влегуваат, но не излегуваат на интерфејсот на тунелот — тоа покажува на повратниот пат, а не на почетното правило за дозвола.

Оставете множество правила што можете да го браните

SSTP на TCP 443 е неразличен од обичен HTTPS за секој филтер заснован на порти, и тоа е поентата кога мрежата дозволува само веб сообраќај. Затоа и правилото за 443 треба да го именува порталот како дестинација, а не целиот интернет. Бришете привремени правила одбило-што-до-било-што штом тунелот проработи. Запишете кое правило се совпаднало, бројот на протоколот каде што има и насоката, за да започне следниот човек од докази.

Облачните портали од точка до локација го прават изборот видлив: преземениот профил користи или SSTP на 443 или IKEv2 на 500 и 4500, и треба да го отворите само тоа што профилот навистина го избира. PPTP не вреди исклучок за GRE во современа мрежа, бидејќи мобилните оператори често го отфрлаат протоколот 47 без оглед на вашиот огнен ѕид. Пред да го затворите барањето, потврдете дека правилото одговара на портата во конфигурацијата на серверот, дека полето за протокол е поставено таму каде што на семејството му треба, и дека дестинацијата е порталот, а не која и да е адреса.