Тогтмол UDP портууд порт дамжуулалтыг алгасаж чадна, гэхдээ NAT бүр биш

Хоёр гэрийн чиглүүлэгч, дамжуулсан порт байхгүй, гэсэн хэдий ч заримдаа холбогддог VPN. UDP үүнийг зөвшөөрдөг, учир нь галын хана машины аль хэдийн эхлүүлсэн урсгалтай тааруулж чадах пакетыг хүлээн авна. Энэ нь боломж биш, нөхцөлт арга бөгөөд галын хана юуг харьцуулж байгааг мэдвэл нөхцөлүүдийг хэлэхэд амархан. Ижил профайлууд өөр өөр сүлжээнд өөрөөр ажиллах шалтгаан ч энд байна.

Галын хананы хийдэг харьцуулалт

Гарч буй датаграм бүр богино настай бичлэг үүсгэдэг: эх хаяг, эх порт, очих хаяг, очих порт. Бичлэгтэй таарч буй бүхэн хариу гэж үзэгдэж нэвтрүүлэгддэг. Орж ирэх дүрэмд энд ямар ч үүрэг байхгүй.

Тиймээс асуулт нь галын хана түншийг дотогш оруулах эсэх биш. Асуулт нь түншийн пакет бичлэгийн хүлээж буй хариу шиг харагдаж байгаа эсэх юм. Тэр дөрвөн хэсэгтэй кортежийн нэг талбарыг өөрчилбөл пакет танихгүй болно. Тиймээс зөвхөн портын дугаар өөрчлөгдөхөд ажиллаж байсан тохиргоо эвдэрч болзошгүй, мөн нэг порт нэг чиглүүлэгч дээр ажиллаад дараагийн дээр бүтэлгүйтэж болзошгүй.

Орон нутгийн эх портыг тогтоовол ижил дугаар солилцооны хоёр талд гарч ирнэ. Энэ бол бүх механизм бөгөөд арга яагаад нууцлаг бус, эмзэг болохыг тайлбарлаж байна.

Хоёр төгсгөлд нэг портыг тогтоох

OpenVPN-ийн анхдагч UDP порт нь 1194 бөгөөд lport аль портоос илгээхийг тогтоодог. Хоёр түншийг тогтоовол тус бүрийн гарч буй кортеж нөгөө нь сонсож буй порт руу заана:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Энэ нь тэдний хооронд ямар ч чиглүүлэгч эх портыг дахин бичихгүй байх хугацаанд л ажиллана. Пакетууд бичлэгт гарч ирэх боловч туннель өргөгдөхгүй бол дахин бичилт нь анхны сэжигтэн.

Кортеж тохирохоо болих газар

Очих газраар зурагладаг NAT түнш бүрт өөр гадаад порт өгдөг. Түншид тань хэрэглэ гэж хэлсэн хаяг түүнд хүрч буй хаяг биш тул орж ирэх пакет юутай ч тохирохгүй, чимээгүй хаягдана.

Операторын түвшний хөрвүүлэлт, давхарласан NAT, портын санамсаргүйжүүлэлт бүгд адилхан төгсдөг. Хаягуудыг хөндөхгүйгээр портуудыг дахин бичдэг ямар ч завсрын хайрцаг ч мөн адил.

Урсгалт тээврийн хувьд илүү муу. TCP гар барилт алхам алхмаар хянагддаг тул TCP-д суурилсан VPN-ийг ингэж огт нэвтлэх боломжгүй бөгөөд замд хаа нэгтээ сонсогч хэрэгтэй.

Ихэвчлэн нэг тал эхлээд бүтэлгүйтдэг

Практикт хоёр сүлжээ ховор ижил ажилладаг. Нэг чиглүүлэгч урьдчилан таамаглах зураглал өгөхөд нөгөө нь очих газраар порт өгдөг, үр дүн нь хоёр гэрийн хооронд ажиллаад гар утасны сүлжээнээс бүтэлгүйтдэг тохиргоо болно. Бие биедээ зөрчилдөх тайлангууд ихэвчлэн хоёр өөр хос чиглүүлэгчийг дүрсэлдэг. Аль ч зохиолч буруу биш, аль ч үр дүн ерөнхийлөгдөхгүй.

Профайлд хүрэхээс өмнө аль тал пакетыг хаясныг олж мэдээрэй. Хоёр төгсгөлийн бичлэг үүнийг нэг оролдлогоор шийднэ: A-аас гарч B-д хэзээ ч хүрэхгүй датаграмууд урсгал замд дахин бичигдсэнийг, харин B-д хүрээд хариу буцаж ирэхгүй датаграмууд галын хана тэдгээрийг холбоотой гэж хүлээж аваагүйг илтгэнэ.

Олон нийтийн IPv6 хаягтай хоёр түнш бүх асуудлыг тойрч гарна. Хөрвүүлэлтгүй бол тааруулах зүйл байхгүй тул түншүүдийг нэрлэсэн галын хананы дүрэм хангалттай бөгөөд загвар нь чиглүүлэгчийн зан төлөвөөс хамаарахаа болино.

Хэзээ оролдлогоо зогсоох вэ

Олон нийтийн хаягтай хост бол найдвартай хариулт. Энэ нь хоёр түншийн хувьд туннелийг дуусгаж чадна, эсвэл зүгээр л бие биенийхээ одоогийн гадаад хаягийг олоход туслаж чадна, NAT юу ч хийсэн хоёр зохион байгуулалт ажиллана. Бодлого зөвшөөрвөл удирдлагатай overlay ижил зохицуулалтыг өгнө.

Эдгээрийн аль нь ч унтраасан галын хана шаардахгүй. Шууд холболтыг хожихын тулд хамгаалалтыг унтраах нь шууд оролдлогыг сонирхолтой болгосон шалтгааныг хаяж, туршилтын бүх хугацаанд машиныг нээлттэй үлдээдэг.

Эхлээд шууд зохион байгуулалтыг туршаад, дараа нь юу харснаа бичиж аваарай. NAT-ийн зан төлөв болон түүнийг харуулсан бичлэг нь эцэст нь хэрэглэсэн портын хосоос илүү үнэ цэнэтэй, учир нь дараагийн сүлжээ өөр байх болно. OpenVPN 2.6 гарын авлага баримтжуулдаг lport болон үүнээс хамаарах remote сонголтуудыг.