ഹോം VPN സർവറിനായി പോർട്ട് ട്രിഗറിംഗ് എന്നത് പോർട്ട് ഫോർവേഡിംഗിനെതിരെ
ട്രിഗറിംഗ് പുറത്തേക്കുള്ള ട്രാഫിക്കിന് ശേഷം മാപ്പിംഗ് തുറക്കുന്നു; ഫോർവേഡിംഗ് പോർട്ട് ശാശ്വതമായി മാപ്പ് ചെയ്യുന്നു. ഹോം VPN സർവറിന് രണ്ടാമത്തേത് വേണം, യഥാർത്ഥ ലിസണറിൽ പരിമിതപ്പെടുത്തി.
മിക്ക വീട്ടു റൗട്ടറുകളിലും പോർട്ട് ഫോർവേഡിംഗും പോർട്ട് ട്രിഗറിംഗും ഒരേ മെനുവിലാണ്, അതുകൊണ്ടാണ് ഒരേ ജോലി ചെയ്യുന്ന രണ്ട് വഴികളായി അവയെ കാണുന്നത്. ഫോർവേഡിംഗ് ഒരു സ്റ്റാറ്റിക് നിയമമാണ്: WAN പോർട്ടിലേക്കുള്ള ഇൻബൗണ്ട് കണക്ഷൻ ഒരു നിശ്ചിത ആന്തരിക വിലാസത്തിലേക്കും പോർട്ടിലേക്കും വിവർത്തനം ചെയ്യപ്പെടുന്നു, മറ്റെന്തെങ്കിലും സംഭവിക്കുന്നുണ്ടോ ഇല്ലയോ എന്നത് നോക്കാതെ. ട്രിഗറിംഗ് സശർത്താണ്: റൗട്ടർ പുറത്തേക്കുള്ള ട്രാഫിക് നിരീക്ഷിക്കുകയും ഒരു പൊരുത്തമുള്ള കണക്ഷൻ പുറത്തുപോയതിന് ശേഷം മാത്രം ഇൻബൗണ്ട് മാപ്പിംഗ് തുറക്കുകയും ചെയ്യുന്നു. VPN സർവർ മറ്റാരെങ്കിലും ആദ്യം കണക്ട് ചെയ്യാൻ കാത്തിരിക്കുന്നു, അതിനാൽ ആ വ്യവസ്ഥ തന്നെയാണ് അത് ഒരിക്കലും നിറവേറ്റാൻ കഴിയാത്ത ഒരേയൊരു കാര്യം.
വ്യത്യസ്ത ജീവിതചക്രങ്ങളുള്ള രണ്ട് നിയമങ്ങൾ
IPv4 NAT സ്റ്റേറ്റ് സൂക്ഷിക്കുന്നു. ആന്തരിക ഹോസ്റ്റ് ഒരു പാക്കറ്റ് പുറത്തേക്ക് അയക്കുമ്പോൾ, മറുപടികൾക്ക് തിരികെ വഴി കണ്ടെത്താൻ റൗട്ടർ ഒരു മാപ്പിംഗ് സൃഷ്ടിക്കുന്നു; ഒരു മാപ്പിംഗിനും പൊരുത്തപ്പെടാത്ത ഇൻബൗണ്ട് പാക്കറ്റ് നിരാകരിക്കപ്പെടുന്നു, ഈ പെരുമാറ്റമാണ് അപ്ഡേറ്റ് ചെയ്യാത്ത ഡെസ്ക്ടോപ്പിനെ ഇന്റർനെറ്റിന് പുറത്ത് നിർത്തുന്നത്. ഫോർവേഡിംഗ് കൈകൊണ്ട് ചേർക്കുന്ന ശാശ്വത വിവർത്തന എൻട്രിയാണ്. ട്രിഗറിംഗ് ട്രാഫിക് പാറ്റേൺ കാവൽ നിൽക്കുന്ന താൽക്കാലിക ദ്വാരമാണ്.
പ്രായോഗിക വ്യത്യാസം സമയമാണ്. സേവ് ചെയ്ത നിമിഷം മുതൽ ആരെങ്കിലും ഇല്ലാതാക്കുന്നത് വരെ ഫോർവേഡിംഗ് നിലനിൽക്കുന്നു. ട്രിഗർ ചെയ്ത മാപ്പിംഗ് ട്രിഗർ പ്രവർത്തിച്ചതിന് ശേഷം നിലനിൽക്കുകയും നിഷ്ക്രിയ ടൈമറിൽ അടയ്ക്കുകയും ചെയ്യുന്നു, ഉപഭോക്തൃ ഹാർഡ്വെയറിൽ മിനിറ്റുകളിൽ അളക്കുന്നു, അല്ലെങ്കിൽ റീബൂട്ടിൽ ഉടൻ.
അമൂർത്തമായി രണ്ടും കൂടുതൽ സുരക്ഷിതമല്ല. ഫോർവേഡിംഗ് ഒരു പോർട്ട് തുടർച്ചയായി തുറന്നിടുന്നു; ട്രിഗർ അത് ഒരു നിശ്ചിത പുറം ട്രാഫിക്കിന് ശേഷം മാത്രം തുറക്കുന്നു. അപരിചിതനിൽ നിന്ന് ആദ്യ പാക്കറ്റ് സ്വീകരിക്കേണ്ട സേവനത്തിന് രണ്ടിൽ ഒന്ന് മാത്രമാണ് ജോലിയുമായി യോജിക്കുന്നത്.
ട്രിഗറിംഗ് ഒരു സർവർ പ്രസിദ്ധീകരിക്കാത്തത് എന്തുകൊണ്ട്
VPN സർവർ രൂപകൽപ്പനയാൽ തന്നെ നിഷ്ക്രിയമാണ്. എതിർവശം, കഫേയിലെ ലാപ്ടോപ്പോ മൊബൈൽ ഡാറ്റയിലെ ഫോണോ ആകട്ടെ, ആദ്യ പാക്കറ്റ് അയക്കുന്നു, റൗട്ടറിന് അതിന് ഒരു മാപ്പിംഗുമില്ല. അകത്ത് ഒന്നും ട്രിഗർ പോർട്ടിലേക്ക് ട്രാഫിക് തുടങ്ങിയിട്ടില്ല, അതിനാൽ നിയമം ഒരിക്കലും പ്രവർത്തിക്കുന്നില്ല, ഹാൻഡ്ഷേക്ക് തുടങ്ങുന്നതിന് മുമ്പേ കണക്ഷൻ മരിക്കുന്നു.
ട്രിഗറിംഗ് പ്രവർത്തിക്കുന്നതായി തോന്നുന്നിടത്ത്, ട്രിഗർ പോർട്ടിൽ ട്രാഫിക് ഉണ്ടാക്കുന്നത് മറ്റെന്തോ ആണ്: LAN-ലെ ഒരു ക്ലയന്റ്, ഒരു മോണിറ്ററിംഗ് പ്രോബ്, അല്ലെങ്കിൽ സർവറിന്റെ സ്വന്തം പുറം പരിശോധനകൾ. അപ്പോൾ മാപ്പിംഗ് ആ ഒരു ഹോസ്റ്റിന് മാത്രം തുറക്കുകയും ട്രാഫിക് നിലയ്ക്കുമ്പോൾ അടയ്ക്കുകയും ചെയ്യുന്നു, അതിനാൽ അടുത്ത ബാഹ്യ എതിർവശം വീണ്ടും പരാജയപ്പെടുന്നു, ആദ്യ വിജയം ലോഗിൽ തെളിവുപോലെ കിടക്കുന്നു.
ട്രിഗറിംഗ് സാധാരണയായി ഒരു ഹോസ്റ്റിന് വേണ്ടിയുള്ളതുമാണ്. പല നടപ്പാക്കലുകളും ഒരേ സമയം ഒരു ആന്തരിക ഉപകരണത്തിന് മാത്രം മാപ്പിംഗ് സൂക്ഷിക്കാൻ അനുവദിക്കുന്നു, നിരവധി എതിർവശങ്ങൾക്ക് ഉത്തരം നൽകേണ്ട സർവറിന് ഇത് തികച്ചും തെറ്റാണ്. ഈ സവിശേഷത പുറത്തേക്ക് ഒരു നിയന്ത്രണ കണക്ഷൻ തുറക്കുകയും രണ്ടാം പോർട്ടിൽ ഇൻബൗണ്ട് ഡാറ്റ പ്രതീക്ഷിക്കുകയും ചെയ്യുന്ന ആപ്പുകൾക്കായി നിർമ്മിച്ചതാണ്, അത് ഇപ്പോഴും ആ രൂപത്തിന് യോജിക്കുന്നു.
ഫോർവേഡിംഗ് യഥാർത്ഥത്തിൽ എന്താണ് മാപ്പ് ചെയ്യുന്നത്
ഫോർവേഡിംഗ് ഒരു വിവർത്തന എൻട്രിയാണ്: WAN പോർട്ടും പ്രോട്ടോക്കോളും ആന്തരിക വിലാസത്തിലേക്കും പോർട്ടിലേക്കും. മറുവശത്ത് ഇതിനകം പ്രവർത്തിക്കുന്ന ഒരു ലിസണർ വേണം, ആന്തരിക വിലാസം അതിന്റെ സ്ഥാനത്ത് തന്നെ നിൽക്കണം. മറ്റൊരു മെഷീനിലേക്ക് മാറുന്ന DHCP ലീസ് ഓരോ ടണലും തെറ്റായ ഹോസ്റ്റിലേക്ക് നിശബ്ദമായി അയക്കുന്നു, അതിനാൽ നിയമത്തിന് മുമ്പേ റിസർവേഷൻ ഉണ്ടാക്കുക.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
പ്രോട്ടോക്കോൾ ഫോം സൂചിപ്പിക്കുന്നതിനേക്കാൾ പ്രധാനമാണ്. UDP-യിൽ OpenVPN-ന് UDP ഫോർവേഡിംഗ് വേണം, WireGuard-ന് UDP വേണം, IPsec ഡാറ്റ ESP ആയി, IP പ്രോട്ടോക്കോൾ 50 ആയി എത്തുന്നു, അതിന് പോർട്ടുകളേയില്ല. TCP അല്ലെങ്കിൽ UDP മാത്രം സ്വീകരിക്കുന്ന ഫോർവേഡിംഗ് ഫോമിന് അത് പ്രകടിപ്പിക്കാനാവില്ല, അതിനാൽ IPsec-ന് പോർട്ട് നിയമത്തിന് പകരം passthrough അല്ലെങ്കിൽ സ്റ്റാറ്റിക് ഒന്നിനൊന്ന് മാപ്പിംഗ് വേണം.
നിങ്ങളുടെ റൗട്ടറിന് മുകളിലുള്ള പാളി
ഫോർവേഡിംഗ് നിങ്ങളുടേതായ വിവർത്തനത്തെ മാത്രം നിയന്ത്രിക്കുന്നു. WAN വിലാസം നിങ്ങളുടേതല്ലെങ്കിൽ, ഉപഭോക്താക്കൾ RFC 6598-ൽ വിവരിച്ചിരിക്കുന്നതുപോലെ 100.64.0.0/10 പങ്കിടുന്ന കാരിയർ-ഗ്രേഡ് NAT-ന് പിന്നിലെ സാഹചര്യമാണത്, ദാതാവ് ആദ്യം വിവർത്തനം ചെയ്തതിനാൽ ഇൻബൗണ്ട് കണക്ഷൻ ഒരിക്കലും നിങ്ങളുടെ റൗട്ടറിൽ എത്തുന്നില്ല. നിങ്ങളുടെ ഉപകരണത്തിലെ ഏത് നിയമത്തിനും ആ ക്രമം തിരുത്താനാവില്ല.
ഇരട്ട NAT ചെറിയ തോതിലുള്ള അതേ പ്രശ്നമാണ്. നിങ്ങളുടെ റൗട്ടർ ISP റൗട്ടറിലേക്ക് ഫോർവേഡ് ചെയ്യുന്നു, അതിന് പൊരുത്തമുള്ള നിയമമില്ല, അത് പാക്കറ്റ് നിരാകരിക്കുന്നു. ഒന്നുകിൽ പുറം ഉപകരണത്തിൽ നിയമം ചേർക്കുക, അല്ലെങ്കിൽ പുറം ഉപകരണം ബ്രിഡ്ജ് മോഡിലാക്കി നിങ്ങളുടേത് പൊതു വിലാസം സൂക്ഷിക്കട്ടെ.
അതുകൊണ്ടാണ് പരിശോധന പുറത്തുനിന്ന് വരേണ്ടത്. പൊതു വിലാസത്തിലൂടെ അതേ LAN-ൽ നിന്ന് ചെയ്യുന്ന പരിശോധന ഹെയർപിൻ NAT പിന്തുണയെ ആശ്രയിക്കുന്നു, നിയമവുമായി ബന്ധമില്ലാത്ത കാരണങ്ങളാൽ വിജയിക്കുകയോ പരാജയപ്പെടുകയോ ചെയ്യാം; മൊബൈൽ ഡാറ്റയിലെ ഫോൺ, അല്ലെങ്കിൽ മറ്റൊരു നെറ്റ്വർക്കിലെ സുഹൃത്ത്, കൂടുതൽ വ്യക്തമായ പരിശോധനയാണ്.
നിയമം പരിമിതപ്പെടുത്തുക, എന്നിട്ട് രണ്ട് പകുതികളും പരിശോധിക്കുക
ഒരു പോർട്ട് ഒരു വിലാസത്തിലേക്ക് ഫോർവേഡ് ചെയ്യുക. ആദ്യ ശ്രമങ്ങൾ പരാജയപ്പെട്ടതിനാൽ ചേർത്ത ഒരു ശ്രേണി, മാനേജ്മെന്റ് ഇന്റർഫേസുകൾ ഇന്റർനെറ്റിലെത്തുന്ന വഴിയാണ്, VPN ലിസണറിന് അതിന് അരികിൽ റൗട്ടറിന്റെ അഡ്മിൻ പേജ് പ്രസിദ്ധീകരിക്കേണ്ട ആവശ്യമില്ല.
ആ ലിസണറിനെ ഇതിനകം സംരക്ഷിച്ചിരുന്നതെല്ലാം നിലനിർത്തുക: സർട്ടിഫിക്കറ്റ് അല്ലെങ്കിൽ കീ ഐഡന്റിറ്റി, ഹോസ്റ്റ് ഫയർവാൾ, നിലവിലെ പാക്കേജ് പതിപ്പുകൾ. ഫോർവേഡിംഗ് ഒരു പാക്കറ്റ് അകത്തേക്ക് വിടുന്നു; ആ പാക്കറ്റ് ടണലാകുമോ എന്ന് പ്രാമാണീകരണം തീരുമാനിക്കുന്നു, എന്തെങ്കിലും കാര്യം തെറ്റുമ്പോൾ ഇവ രണ്ട് വേറിട്ട പരാജയങ്ങളാണ്.
പരിശോധനയ്ക്ക് രണ്ട് പകുതികളുണ്ട്. ഹാൻഡ്ഷേക്ക് ബാഹ്യ നെറ്റ്വർക്കിൽ നിന്ന് പൂർത്തിയാകണം, പിന്നീട് സർവറിന് പിന്നിലെ ഒരു സ്വകാര്യ വിഭവം ടണലിലൂടെ മറുപടി നൽകണം. ഫോർവേഡിംഗ് ടണൽ കണക്ഷൻ അകത്തേക്ക് വിടുന്നു, അത്രമാത്രം; 10.8.0.0/24-നുള്ള റൗട്ടിംഗും അധികാരവും മറ്റൊരു സ്ക്രീനിലെ മറ്റൊരു ക്രമീകരണമാണ്.
മൂന്ന് ചോദ്യങ്ങളിലൂടെ തീരുമാനിക്കുക
മൂന്ന് ചോദ്യങ്ങൾ ഏതു താരതമ്യ പട്ടികയേക്കാളും വേഗം തിരഞ്ഞെടുപ്പ് തീർപ്പാക്കുന്നു:
- പുറത്തുനിന്ന് എന്തെങ്കിലും ആദ്യ പാക്കറ്റായി കണക്ട് ചെയ്യുന്നുണ്ടോ? എങ്കിൽ ഫോർവേഡിംഗോ ഒരു റിലേയോ ഉപയോഗിക്കുക. ഒരിക്കലും ഉണ്ടാകാത്ത പുറം ട്രാഫിക്കില്ലാതെ ട്രിഗറിംഗിന് തുറക്കാനാവില്ല.
- ദ്വാരം നിഷ്ക്രിയ സമയത്തേക്കാൾ ജീവിക്കണമോ? എങ്കിൽ ഫോർവേഡിംഗ് ഉപയോഗിക്കുക, കാരണം ട്രിഗർ ചെയ്ത മാപ്പിംഗ് സ്വന്തം ഷെഡ്യൂൾ പ്രകാരം അടയുന്നു.
- WAN വിലാസം പ്രസിദ്ധീകരിക്കാൻ നിങ്ങളുടേതാണോ? അല്ലെങ്കിൽ, ഏതെങ്കിലും നിയമം തിരുത്തുന്നതിന് മുമ്പ് മുകളിലെ പാളി ശരിയാക്കുക.
മൂന്നിനും ഉത്തരം ഇല്ലെങ്കിൽ, സ്വയം ഒരു വാണിജ്യ ദാതാവിനെ വിളിക്കുന്ന ലാപ്ടോപ്പിന്റെ സാഹചര്യമാണത്, രണ്ട് നിയമങ്ങളും ആവശ്യമില്ല. NAT-ന് പിന്നിലെ ക്ലയന്റ് പ്രവർത്തിക്കുന്നത് അത് സ്വയം സ്റ്റേറ്റ് മാപ്പിംഗ് ഉണ്ടാക്കുന്നതുകൊണ്ടാണ്, അർദ്ധരാത്രി പോർട്ട് ഫോർവേഡിംഗ് പേജ് വായിക്കുന്ന മിക്ക ആളുകളെയും അത് ഉൾക്കൊള്ളുന്നു.