ഫയർവാളിൽ ഏത് VPN പോർട്ടുകൾ തുറക്കണം: പ്രോട്ടോക്കോൾ തോറും
PPTP-ക്ക് TCP 1723-ഉം GRE-യും വേണം, L2TP/IPsec-ന് UDP 500-ഉം 4500-ഉം ESP-യും വേണം, SSTP, OpenVPN, WireGuard എന്നിവയ്ക്ക് ഓരോ പോർട്ട് വേണം. എന്താണ് തുറക്കേണ്ടതെന്ന് ഇവിടെ.
ഒരു VPN ടണൽ ഫയർവാളിനെ അതിജീവിക്കുമോ എന്ന് രണ്ട് വേറിട്ട നിയമങ്ങൾ തീരുമാനിക്കുന്നു: ക്ലയന്റ് ഡയൽ ചെയ്യുന്ന പോർട്ടും പേലോഡ് കൊണ്ടുപോകുന്ന പ്രോട്ടോക്കോളും. ആദ്യത്തേത് മാത്രം തുറന്നാൽ ടണൽ പ്രാമാണീകരണം പൂർത്തിയാക്കും, പിന്നീട് ഡാറ്റ നീങ്ങില്ല. ഏറ്റവും കുറഞ്ഞത് PPTP-ക്ക് ഒരു TCP പോർട്ടും GRE-യും, L2TP/IPsec-നും IKEv2-നും രണ്ട് UDP പോർട്ടുകളും ESP-യും, SSTP-ക്കും OpenVPN-നും WireGuard-നും ഓരോ പോർട്ടുമാണ്. ദിശ, അവസ്ഥാ ട്രാക്കിംഗ്, NAT എന്നിവ ബാക്കി തീരുമാനിക്കുന്നു.
ക്ലയന്റ് ഡയൽ ചെയ്യുന്ന പോർട്ടിൽ നിന്ന് തുടങ്ങുക
ഓരോ കുടുംബത്തിനും ക്ലയന്റ് ആദ്യം സമീപിക്കുന്ന ഒരു പ്രവേശന കേന്ദ്രമുണ്ട്, നിങ്ങളുടെ അനുമതി നിയമം ആ പ്രവേശന കേന്ദ്രത്തെയാണ് പേരിടേണ്ടത്. PPTP ക്ലയന്റുകൾ TCP 1723-ലേക്ക് ബന്ധിപ്പിക്കുന്നു. L2TP/IPsec UDP 500-ൽ IKE ആരംഭിച്ച് NAT ട്രാവേഴ്സൽ ഉപയോഗിക്കുമ്പോൾ UDP 4500-ലേക്ക് മാറുന്നു, L2TP ഫ്രെയിം തന്നെ ടണലിനുള്ളിൽ UDP 1701-ൽ ആണ്. SSTP സെഷൻ TCP 443-ൽ TLS-ൽ പൊതിയുന്നു, IKEv2 UDP 500-ഉം 4500-ഉം ചർച്ച ചെയ്യുന്നു, OpenVPN സ്വതവേ UDP 1194 ഉപയോഗിക്കുന്നു പക്ഷേ പലപ്പോഴും TCP 443-ലേക്ക് മാറ്റുന്നു, WireGuard UDP 51820-ൽ കേൾക്കുന്നു.
| Family | Rule to add on the gateway | Typical mistake |
|---|---|---|
| WireGuard | UDP port from ListenPort, for the peer address | Assuming 51820 when the config says otherwise |
| OpenVPN | The configured UDP or TCP port, often 443 | Opening 1194 after the server moved |
| SSTP | TCP 443 limited to the gateway IP | Allowing 443 to any destination |
| IKEv2 | UDP 500 and UDP 4500, plus ESP | Allowing only 500 and losing NAT-T |
| L2TP/IPsec | UDP 500, 4500, ESP, and 1701 inside the tunnel | Exposing 1701 to the internet |
| PPTP | TCP 1723 and IP protocol 47 | Writing a rule for TCP 47 |
ഈ സംഖ്യകളെ സ്ഥിരമായ സ്വഭാവങ്ങളല്ല, സ്വതവേയുള്ള മൂല്യങ്ങളായി കാണുക. WireGuard ഇന്റർഫേസ് അതിന്റെ കോൺഫിഗറേഷൻ പ്രഖ്യാപിക്കുന്ന ഏത് കേൾവി പോർട്ടും ഉപയോഗിക്കുന്നു, OpenVPN സെർവർ അഡ്മിനിസ്ട്രേറ്റർ തിരഞ്ഞെടുത്ത ഏത് പോർട്ടിലും ഇരിക്കാം. നിയമം എഴുതുന്നതിന് മുമ്പ് സെർവർ കോൺഫിഗറേഷൻ വായിക്കുക, കാരണം 1194-ന് തുറന്ന ഫയർവാൾ 443-ലേക്ക് മാറ്റിയ സെർവറിന് ഒന്നും ചെയ്യുന്നില്ല.
മൂന്നാം നിരയാണ് ഭൂരിഭാഗം മാറ്റ ടിക്കറ്റുകളും പിഴയ്ക്കുന്നിടം. നിയമം ഉണ്ട്, പക്ഷേ അത് തെറ്റായ ലക്ഷ്യത്തിലേക്കോ തെറ്റായ ദിശയിലേക്കോ തെറ്റായ ഗതാഗതത്തിലേക്കോ ചൂണ്ടുന്നു.
GRE-യും ESP-യും പ്രോട്ടോക്കോൾ നമ്പറുകളാണ്, പോർട്ടുകളല്ല
GRE-ക്കും ESP-ക്കും പോർട്ടുകളേയില്ല, അതിനാൽ പോർട്ട് നമ്പറുകൾ മാത്രം സ്വീകരിക്കുന്ന ഫയർവാൾ ഫോം അവയെ പ്രകടിപ്പിക്കാനാവില്ല. GRE എന്നത് IP പ്രോട്ടോക്കോൾ 47-ഉം ESP എന്നത് IP പ്രോട്ടോക്കോൾ 50-ഉം ആണ്, രണ്ടും IP ഹെഡറിലെ പ്രോട്ടോക്കോൾ ഫീൽഡിലൂടെ പൊരുത്തപ്പെടുത്തുന്നു. TCP പോർട്ട് 47 എന്ന് എഴുതിയ നിയമം ഒന്നിനോടും പൊരുത്തപ്പെടുന്നില്ല, ഇങ്ങനെ PPTP നയം ശരിയെന്ന് തോന്നുമ്പോഴും ഹാൻഡ്ഷേക്കിന് ശേഷമുള്ള ഓരോ പാക്കറ്റും വീഴ്ത്തുന്നു.
ഉപഭോക്തൃ റൗട്ടറുകൾ ഇത് ഒരു പാസ്ത്രൂ ചെക്ക്ബോക്സിന് പിന്നിൽ ഒളിപ്പിക്കുന്നു, അത് പ്രോട്ടോക്കോൾ നിയമം ഇൻസ്റ്റാൾ ചെയ്യുന്നു, GRE-യുടെ കാര്യത്തിൽ ഫ്ലോ മാപ്പ് ചെയ്യാൻ ആവശ്യമായ NAT സഹായിയും ഇൻസ്റ്റാൾ ചെയ്യുന്നു. യഥാർത്ഥ ഫയർവാളിൽ നിങ്ങൾ തന്നെ പ്രോട്ടോക്കോൾ ചേർക്കുന്നു: PPTP സെർവറിലേക്ക് IP പ്രോട്ടോക്കോൾ 47 അനുവദിക്കുക, IPsec ഗേറ്റ്വേയിലേക്ക് IP പ്രോട്ടോക്കോൾ 50 അനുവദിക്കുക. പ്ലാറ്റ്ഫോം പ്രോട്ടോക്കോൾ ഫീൽഡ് നൽകാത്തിടത്ത് എൻക്യാപ്സുലേഷനാണ് പോംവഴി, അതുകൊണ്ടാണ് IKEv2 UDP 4500-ലേക്ക് പിൻവാങ്ങാനാകുന്നതും OpenVPN-ഉം WireGuard-ഉം ഈ പ്രശ്നം ഒരിക്കലും നേരിടാത്തതും.
ക്ലയന്റിനെ കുറ്റപ്പെടുത്തുന്നതിന് മുമ്പ് നിയമം യഥാർത്ഥത്തിൽ എന്തിനോട് പൊരുത്തപ്പെടുന്നു എന്ന് പരിശോധിക്കുക. ഗേറ്റ്വേയിൽ പൂജ്യത്തിൽ നിൽക്കുന്ന പാക്കറ്റ് കൗണ്ടർ നിയമം ഒരിക്കലും പ്രവർത്തിച്ചിട്ടില്ല എന്ന് പറയുന്നു, ക്ലയന്റ് വശത്ത് എത്ര തവണ വീണ്ടും ഇൻസ്റ്റാൾ ചെയ്താലും അത് മാറില്ല.
ദിശ, അവസ്ഥ, NAT എന്നിവ ഉത്തരം മാറ്റുന്നു
പുറത്തേക്ക് ഡയൽ ചെയ്യുന്ന ക്ലയന്റും അകത്തേക്ക് കേൾക്കുന്ന ഗേറ്റ്വേയും വ്യത്യസ്ത ആവശ്യങ്ങളാണ്, ഒരേ പോർട്ട് പട്ടിക ഒരു ദിശയിൽ ശരിയും മറ്റേതിൽ തെറ്റുമാകാം. അവസ്ഥ അറിയുന്ന ഫയർവാൾ 500-ലും 4500-ലും UDP ഫ്ലോ ട്രാക്ക് ചെയ്ത് രണ്ടാം നിയമമില്ലാതെ മറുപടികൾ തിരികെ വിടുന്നു. ESP-യും GRE-യും പോർട്ടുകൾ വഹിക്കുന്നില്ല, അതിനാൽ NAT ഉപകരണത്തിന് പിടിക്കാൻ ഒന്നുമില്ല, സെഷൻ പിന്തുടരാൻ സഹായിയോ എൻക്യാപ്സുലേഷനോ വേണം.
NAT ട്രാവേഴ്സലാണ് വിട്ടുപോകുന്ന ഭാഗം. IKEv2 UDP 500-ൽ തുടങ്ങി NAT ഉപകരണം കണ്ടെത്തി UDP 4500-ൽ തുടരുന്നു, അതിനാൽ 500 മാത്രം അനുവദിക്കുന്ന നയം സ്ഥാപിതമായി പിന്നീട് നിശ്ശബ്ദമാകുന്ന ടണൽ നൽകുന്നു. L2TP/IPsec-ഉം അതേ നീക്കം ചെയ്യുന്നു. നിങ്ങളുടെ ക്യാപ്ചർ ആദ്യ കൈമാറ്റം കാണിക്കുകയും തുടർച്ചയായ ട്രാഫിക് കാണിക്കാതിരിക്കുകയും ചെയ്താൽ, 500-ൽ നിർത്തുന്ന നിയമം തിരയുക.
ഓരോ നിയമത്തിനൊപ്പവും ദിശ രേഖപ്പെടുത്തുക. «UDP 4500 അനുവദിക്കുക» എവിടെ നിന്ന് എവിടേക്ക് എന്ന് പറയുന്നതുവരെ ഒന്നും അർത്ഥമാക്കുന്നില്ല, ചലിക്കുന്ന ക്ലയന്റിന് ശരിയായ നിയമം സാധാരണയായി സൈറ്റ്-ടു-സൈറ്റ് പങ്കാളിക്ക് തെറ്റാണ്.
ഓരോ പാതയും ക്യാപ്ചർ ഉപയോഗിച്ച് പരിശോധിക്കുക
ക്യാപ്ചർ ഗേറ്റ്വേയിൽ പ്രവർത്തിപ്പിക്കുക, ക്ലയന്റിൽ അല്ല: ക്ലയന്റ് എത്തിയത് മാത്രം രേഖപ്പെടുത്തുന്നു. ഈ ഫിൽട്ടറുകൾ മുകളിലെ കുടുംബങ്ങളെ ഉൾക്കൊള്ളുന്നു, ഏത് ഘട്ടമാണ് വിട്ടുപോയതെന്ന് കാണിക്കുന്നു:
sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50ഔട്ട്പുട്ട് ഒരു ശ്രേണിയായി വായിക്കുക. ചർച്ച കാണുകയും പേലോഡ് പ്രോട്ടോക്കോൾ കാണാതിരിക്കുകയും ചെയ്താൽ, വീഴ്ച ക്ലയന്റിനും ഗേറ്റ്വേക്കും ഇടയിൽ എവിടെയോ സംഭവിക്കുന്നു. രണ്ടും കാണുകയും പേജ് ഇപ്പോഴും പരാജയപ്പെടുകയും ചെയ്താൽ, ഫയർവാൾ ഇനി സംശയിക്കുന്നവനല്ല; റൗട്ടിംഗ്, DNS, ക്ലയന്റിന് നൽകിയ വിലാസ കൂട്ടം എന്നിവ നോക്കുക.
tcpdump ഇല്ലാത്ത യന്ത്രത്തിൽ അതേ തെളിവ് ഇന്റർഫേസ്, നിയമ കൗണ്ടറുകളിൽ നിന്ന് ലഭിക്കുന്നു. ടണൽ ഇന്റർഫേസിൽ ബൈറ്റുകൾ അകത്തേക്ക് വന്ന് പുറത്തേക്ക് പോകുന്നില്ലെങ്കിൽ അത് ആദ്യ അനുമതി നിയമത്തിലേക്കല്ല, തിരിച്ചുള്ള പാതയിലേക്കാണ് ചൂണ്ടുന്നത്.
നിങ്ങൾക്ക് പ്രതിരോധിക്കാവുന്ന ഒരു നിയമ കൂട്ടം വിടുക
TCP 443-ലെ SSTP പോർട്ട് അധിഷ്ഠിത ഫിൽട്ടറിന് സാധാരണ HTTPS-ൽ നിന്ന് വേർതിരിച്ചറിയാനാവില്ല, നെറ്റ്വർക്ക് വെബ് ട്രാഫിക് മാത്രം അനുവദിക്കുമ്പോൾ അതാണ് ഉദ്ദേശ്യം. അതുകൊണ്ടാണ് 443 നിയമം മുഴുവൻ ഇന്റർനെറ്റിനെയല്ല, ഗേറ്റ്വേയെ ലക്ഷ്യമായി പേരിടേണ്ടത്. ടണൽ പ്രവർത്തിച്ചാലുടൻ താൽക്കാലിക ഏതിൽ-നിന്ന്-ഏതിലേക്കും നിയമങ്ങൾ മായ്ക്കുക. ഏത് നിയമം പൊരുത്തപ്പെട്ടു, ഉള്ളിടത്ത് പ്രോട്ടോക്കോൾ നമ്പർ, ദിശ എന്നിവ എഴുതുക, അടുത്തയാൾ തെളിവിൽ നിന്ന് തുടങ്ങാൻ.
ക്ലൗഡ് പോയിന്റ്-ടു-സൈറ്റ് ഗേറ്റ്വേകൾ തിരഞ്ഞെടുപ്പ് കാണാവുന്നതാക്കുന്നു: ഡൗൺലോഡ് ചെയ്ത പ്രൊഫൈൽ 443-ലെ SSTP അല്ലെങ്കിൽ 500-ഉം 4500-ഉം IKEv2 ഉപയോഗിക്കുന്നു, പ്രൊഫൈൽ യഥാർത്ഥത്തിൽ തിരഞ്ഞെടുക്കുന്നത് മാത്രം തുറക്കണം. ആധുനിക നെറ്റ്വർക്കിൽ PPTP-ക്ക് GRE അപവാദം അർഹിക്കുന്നില്ല, കാരണം മൊബൈൽ ഓപ്പറേറ്റർമാർ നിങ്ങളുടെ ഫയർവാൾ പരിഗണിക്കാതെ പ്രോട്ടോക്കോൾ 47 പലപ്പോഴും വീഴ്ത്തുന്നു. ടിക്കറ്റ് അടയ്ക്കുന്നതിന് മുമ്പ് നിയമം സെർവർ കോൺഫിഗിലെ പോർട്ടുമായി പൊരുത്തപ്പെടുന്നു, പ്രോട്ടോക്കോൾ ഫീൽഡ് കുടുംബത്തിന് ആവശ്യമുള്ളിടത്ത് സജ്ജമാണ്, ലക്ഷ്യം ഏതെങ്കിലും വിലാസമല്ല, ഗേറ്റ്വേയാണ് എന്ന് ഉറപ്പാക്കുക.