സ്ഥിര UDP പോർട്ടുകൾക്ക് പോർട്ട് ഫോർവേഡിംഗ് ഒഴിവാക്കാം, പക്ഷേ എല്ലാ NAT-യ്ക്കും അല്ല

രണ്ട് വീട്ടിലെ റൗട്ടറുകൾ, ഫോർവേഡ് ചെയ്ത പോർട്ടുകൾ ഒന്നുമില്ല, എന്നിട്ടും ചിലപ്പോൾ കണക്ട് ചെയ്യുന്ന ഒരു VPN. UDP ഇത് അനുവദിക്കുന്നു, കാരണം യന്ത്രം ഇതിനകം തുടങ്ങിയ ഒരു ഫ്ലോയുമായി ഒത്തുനോക്കാൻ കഴിയുന്ന പാക്കറ്റ് ഫയർവാൾ സ്വീകരിക്കും. ഇത് ഒരു സവിശേഷതയല്ല, സാങ്കേതികമായ ഒരു തന്ത്രമാണ്, ഫയർവാൾ എന്താണ് താരതമ്യം ചെയ്യുന്നതെന്ന് അറിഞ്ഞാൽ വ്യവസ്ഥകൾ പറയാൻ എളുപ്പമാണ്. ഒരേ പ്രൊഫൈലുകൾ വ്യത്യസ്ത നെറ്റ്‌വർക്കുകളിൽ വ്യത്യസ്തമായി പെരുമാറുന്നതിന്റെ കാരണവും ഇതാണ്.

ഫയർവാൾ നടത്തുന്ന താരതമ്യം

ഓരോ പുറത്തേക്കുള്ള ഡാറ്റാഗ്രാമും ഒരു ഹ്രസ്വകാല എൻട്രി സൃഷ്ടിക്കുന്നു: സ്രോതസ്സ് വിലാസം, സ്രോതസ്സ് പോർട്ട്, ലക്ഷ്യ വിലാസം, ലക്ഷ്യ പോർട്ട്. എൻട്രിയുമായി ഒത്തുപോകുന്ന എന്തും ഒരു മറുപടിയായി കണക്കാക്കി കടത്തിവിടുന്നു. ഇൻബൗണ്ട് നിയമങ്ങൾക്ക് ഇതിൽ പങ്കില്ല.

അതിനാൽ ചോദ്യം ഫയർവാൾ പങ്കാളിയെ അകത്തേക്ക് വിടുന്നുണ്ടോ എന്നതല്ല. ചോദ്യം പങ്കാളിയുടെ പാക്കറ്റ് എൻട്രി കാത്തിരിക്കുന്ന മറുപടി പോലെ തോന്നുന്നുണ്ടോ എന്നതാണ്. ആ നാല് ഭാഗമുള്ള ട്യൂപ്പിളിന്റെ ഒരു ഫീൽഡ് മാറ്റിയാൽ പാക്കറ്റ് അപരിചിതമാകും. അതുകൊണ്ടാണ് പോർട്ട് നമ്പർ മാത്രം മാറുമ്പോൾ പ്രവർത്തിക്കുന്ന ക്രമീകരണം തകരുന്നത്, അതുകൊണ്ടാണ് ഒരേ പോർട്ട് ഒരു റൗട്ടറിൽ പ്രവർത്തിച്ച് അടുത്തതിൽ പരാജയപ്പെടുന്നത്.

പ്രാദേശിക സ്രോതസ്സ് പോർട്ട് ഉറപ്പിക്കുക, അപ്പോൾ അതേ നമ്പർ കൈമാറ്റത്തിന്റെ ഇരുവശത്തും പ്രത്യക്ഷപ്പെടും. അതാണ് മുഴുവൻ സംവിധാനവും, തന്ത്രം ദുരൂഹമല്ല, ദുർബലമാണ് എന്നതിന് ഇതാണ് വിശദീകരണം.

ഓരോ അറ്റത്തും ഒരു പോർട്ട് ഉറപ്പിക്കൽ

OpenVPN-ന്റെ ഡിഫോൾട്ട് UDP പോർട്ട് 1194 ആണ്, കൂടാതെ lport അത് ഏത് പോർട്ടിൽ നിന്ന് അയയ്ക്കുന്നു എന്ന് സജ്ജീകരിക്കുന്നു. രണ്ട് പങ്കാളികളെയും ഉറപ്പിക്കുക, അപ്പോൾ ഓരോന്നിന്റെയും പുറത്തേക്കുള്ള ട്യൂപ്പിൾ മറ്റേത് കേൾക്കുന്ന പോർട്ടിലേക്ക് ചൂണ്ടും:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

ഇത് അവയ്ക്കിടയിലുള്ള ഏതെങ്കിലും റൗട്ടർ സ്രോതസ്സ് പോർട്ട് വീണ്ടും എഴുതാത്തിടത്തോളം മാത്രമേ പ്രവർത്തിക്കൂ. പാക്കറ്റുകൾ ക്യാപ്ചറിൽ പ്രത്യക്ഷപ്പെടുന്നുണ്ടെങ്കിലും ടണൽ ഉയരുന്നില്ലെങ്കിൽ, വീണ്ടും എഴുത്താണ് ആദ്യ സംശയം.

ട്യൂപ്പിൾ ഒത്തുപോകുന്നത് നിർത്തുന്നിടം

ലക്ഷ്യത്തിനനുസരിച്ച് മാപ്പ് ചെയ്യുന്ന NAT ഓരോ പങ്കാളിക്കും വ്യത്യസ്ത ബാഹ്യ പോർട്ട് നൽകുന്നു. നിങ്ങളുടെ പങ്കാളിയോട് ഉപയോഗിക്കാൻ പറഞ്ഞ വിലാസം അവനെ എത്തുന്ന വിലാസമല്ല, അതിനാൽ വരുന്ന പാക്കറ്റ് ഒന്നുമായും ഒത്തുപോകാതെ നിശബ്ദമായി വലിച്ചെറിയപ്പെടുന്നു.

ഓപ്പറേറ്റർ തലത്തിലുള്ള വിവർത്തനം, പാളികളായ NAT, പോർട്ട് റാൻഡമൈസേഷൻ എന്നിവയെല്ലാം ഒരേപോലെ അവസാനിക്കുന്നു. വിലാസങ്ങൾ അതേപടി നിർത്തി പോർട്ടുകൾ വീണ്ടും എഴുതുന്ന ഏത് ഇടനില പെട്ടിയും അങ്ങനെതന്നെ.

സ്ട്രീം ട്രാൻസ്‌പോർട്ടുകൾക്ക് കൂടുതൽ മോശമാണ്. TCP ഹാൻഡ്‌ഷേക്ക് ഘട്ടം ഘട്ടമായി പിന്തുടരുന്നു, അതിനാൽ TCP അടിസ്ഥാനമാക്കിയ VPN ഇതുപോലെ തുളയ്ക്കാനേ കഴിയില്ല, പാതയിൽ എവിടെയെങ്കിലും ഒരു ശ്രോതാവ് ആവശ്യമാണ്.

സാധാരണയായി ഒരു വശം ആദ്യം പരാജയപ്പെടുന്നു

പ്രായോഗികമായി രണ്ട് നെറ്റ്‌വർക്കുകളും അപൂർവ്വമായി ഒരേപോലെ പെരുമാറുന്നു. ഒരു റൗട്ടർ പ്രവചിക്കാവുന്ന മാപ്പിംഗ് നൽകുമ്പോൾ മറ്റൊന്ന് ലക്ഷ്യാടിസ്ഥാനത്തിൽ പോർട്ടുകൾ നൽകുന്നു, ഫലം രണ്ട് വീടുകൾക്കിടയിൽ പ്രവർത്തിക്കുകയും മൊബൈൽ നെറ്റ്‌വർക്കിൽ നിന്ന് പരാജയപ്പെടുകയും ചെയ്യുന്ന ക്രമീകരണമാണ്. പരസ്പരവിരുദ്ധമായ റിപ്പോർട്ടുകൾ സാധാരണയായി രണ്ട് വ്യത്യസ്ത റൗട്ടർ ജോഡികളെ വിവരിക്കുന്നു. ഏത് എഴുത്തുകാരനും തെറ്റല്ല, ഏത് ഫലവും പൊതുവത്കരിക്കപ്പെടുന്നില്ല.

പ്രൊഫൈലുകൾ തൊടുന്നതിന് മുൻപ് ഏത് വശം പാക്കറ്റ് ഉപേക്ഷിച്ചു എന്ന് കണ്ടെത്തുക. ഇരു അറ്റത്തുമുള്ള ക്യാപ്ചറുകൾ ഒറ്റ ശ്രമത്തിൽ തീരുമാനിക്കുന്നു: A വിട്ട് B-യിൽ എത്താത്ത ഡാറ്റാഗ്രാമുകൾ ഫ്ലോ വഴിയിൽ വീണ്ടും എഴുതപ്പെട്ടു എന്നർത്ഥം, എന്നാൽ B-യിൽ എത്തി മറുപടി തിരികെ വരാത്ത ഡാറ്റാഗ്രാമുകൾ ഫയർവാൾ അവയെ ബന്ധപ്പെട്ടവയായി സ്വീകരിച്ചില്ല എന്നർത്ഥം.

പൊതു IPv6 വിലാസങ്ങളുള്ള രണ്ട് പങ്കാളികൾ മുഴുവൻ പ്രശ്നവും ഒഴിവാക്കുന്നു. വിവർത്തനമില്ലാതെ ഒത്തുനോക്കാൻ ഒന്നുമില്ല, അതിനാൽ പങ്കാളികളെ പേരിടുന്ന ഒരു ഫയർവാൾ നിയമം മതി, രൂപകൽപ്പന റൗട്ടറിന്റെ പെരുമാറ്റത്തെ ആശ്രയിക്കുന്നത് നിർത്തുന്നു.

എപ്പോൾ ശ്രമം നിർത്തണം

പൊതു വിലാസമുള്ള ഒരു ഹോസ്റ്റാണ് വിശ്വസനീയമായ ഉത്തരം. അത് രണ്ട് പങ്കാളികൾക്കുമായി ടണൽ അവസാനിപ്പിക്കാം, അല്ലെങ്കിൽ പരസ്പരം ഇപ്പോഴത്തെ ബാഹ്യ വിലാസം കണ്ടെത്താൻ സഹായിക്കാം, NAT എന്ത് ചെയ്താലും രണ്ട് ക്രമീകരണങ്ങളും പ്രവർത്തിക്കുന്നു. നയം അനുവദിക്കുകയാണെങ്കിൽ ഒരു മാനേജ്ഡ് ഓവർലേ അതേ ഏകോപനം നൽകുന്നു.

ഇവയിലൊന്നിനും ഓഫാക്കിയ ഫയർവാൾ ആവശ്യമില്ല. നേരിട്ടുള്ള കണക്ഷൻ നേടാൻ സംരക്ഷണം ഓഫാക്കുന്നത് നേരിട്ടുള്ള ശ്രമത്തെ ആകർഷകമാക്കിയ കാരണം വലിച്ചെറിയുന്നു, കൂടാതെ പരിശോധനയുടെ മുഴുവൻ സമയവും യന്ത്രം തുറന്നിടുന്നു.

ആദ്യം നേരിട്ടുള്ള ക്രമീകരണം പരീക്ഷിക്കുക, എന്നിട്ട് കണ്ടത് എഴുതിവയ്ക്കുക. NAT-ന്റെ പെരുമാറ്റവും അത് കാണിച്ച ക്യാപ്ചറും അവസാനം ഉപയോഗിച്ച പോർട്ട് ജോഡിയെക്കാൾ മൂല്യമുള്ളതാണ്, കാരണം അടുത്ത നെറ്റ്‌വർക്ക് വ്യത്യസ്തമായിരിക്കും. OpenVPN 2.6 മാനുവൽ രേഖപ്പെടുത്തുന്നു lport കൂടാതെ ഇത് ആശ്രയിക്കുന്ന remote ഓപ്ഷനുകളും.