Гэрийн VPN серверт зориулсан портын триггер ба портын дамжуулалт
Триггер гадагш урсгал үүссэний дараа зураглал нээдэг; дамжуулалт портыг бүрмөсөн зураглана. Гэрийн VPN серверт хоёр дахь нь хэрэгтэй бөгөөд бодит сонсогчоор хязгаарлагдана.
Портын дамжуулалт ба портын триггер ихэнх гэрийн маршрутлагч дээр нэг цэсэнд байдаг тул тэдгээрийг нэг ажлыг хийх хоёр арга гэж үздэг. Дамжуулалт нь статик дүрэм: WAN порт руу ирэх орж ирсэн холболт нь тогтмол дотоод хаяг, порт руу хөрвүүлэгдэнэ, өөр зүйл болж байгаа эсэхээс үл хамааран. Триггер нь нөхцөлт: маршрутлагч гадагш урсгалыг ажиглаж, тохирох холболт гарсны дараа л орж ирсэн зураглалыг нээдэг. VPN сервер эхлээд өөр хэн нэгэн холбогдохыг хүлээдэг тул яг тэр нөхцөл нь түүний хэзээ ч биелүүлж чадахгүй цорын ганц зүйл юм.
Амьдралын мөчлөг нь өөр хоёр дүрэм
IPv4 NAT төлөв хадгалдаг. Дотоод хост пакетийг гадагш илгээхэд маршрутлагч зураглал үүсгэж, хариу нь буцах замаа олдог; ямар ч зураглалд тохирохгүй орж ирсэн пакет хаягдана, мөн энэ зан төлөв шинэчлэгдээгүй ширээний компьютерыг интернетээс гадна барина. Дамжуулалт бол гараар нэмсэн байнгын хөрвүүлэлтийн бичлэг. Триггер бол урсгалын загвараар хамгаалагдсан түр зуурын цоорхой.
Практик ялгаа нь цаг хугацаа. Дамжуулалт хадгалагдсан цагаас хэн нэгэн устгах хүртэл оршино. Триггерлэгдсэн зураглал триггер ажилласны дараа оршиж, сул зогсолтын таймераар хаагдана, хэрэглэгчийн техникт минутаар хэмжигддэг, эсвэл дахин ачаалахад шууд.
Аль нь ч хийсвэр утгаар илүү аюулгүй биш. Дамжуулалт нэг портыг тасралтгүй ил гаргадаг; триггер зөвхөн тодорхой гадагш урсгалын дараа ил гаргана. Танихгүй хүнээс эхний пакетыг хүлээж авах ёстой үйлчилгээнд хоёрын зөвхөн нэг нь тохирно.
Триггер яагаад серверийг нийтлэхгүй вэ
VPN сервер нь зохион байгуулалтаараа идэвхгүй. Нөгөө тал, кафен дахь зөөврийн компьютер эсвэл мобайл өгөгдөл дээрх утас бай, эхний пакетыг илгээдэг бөгөөд маршрутлагчид түүнд зориулсан зураглал байхгүй. Дотор нь юу ч триггерийн порт руу урсгал эхлүүлээгүй тул дүрэм хэзээ ч ажиллахгүй, гар барилт эхлэхээс өмнө холболт үхдэг.
Триггер ажиллаж байгаа мэт харагдах газарт триггерийн порт дээр урсгалыг өөр зүйл үүсгэж байна: LAN дахь клиент, хяналтын проб, эсвэл серверийн өөрийн гадагш шалгалтууд. Тэгвэл зураглал тэр нэг хостод нээгдэж, урсгал зогсоход хаагдана, тиймээс дараагийн гадаад тал дахин бүтэлгүйтэх бөгөөд эхний амжилт бүртгэлд нотолгоо мэт сууна.
Триггер ихэвчлэн нэг хостод зориулагдсан байдаг. Олон хэрэгжүүлэлт нэгэн зэрэг зөвхөн нэг дотоод төхөөрөмжид зураглалыг барихыг зөвшөөрдөг нь хэд хэдэн талд хариу өгөх ёстой серверт огт тохиромжгүй. Энэ боломжийг гадагш хяналтын холболт нээж, хоёр дахь порт дээр орж ирсэн өгөгдөл хүлээдэг програмуудад зориулж бүтээсэн бөгөөд одоо ч тэр хэлбэрт тохирно.
Дамжуулалт яг юуг зурагладаг вэ
Дамжуулалт бол нэг хөрвүүлэлтийн бичлэг: WAN порт ба протоколыг дотоод хаяг, порт руу. Түүнд нөгөө үзүүрт аль хэдийн ажиллаж байгаа сонсогч хэрэгтэй бөгөөд дотоод хаяг байрандаа байх шаардлагатай. Өөр машин руу шилжсэн DHCP түрээс нь туннел бүрийг буруу хост руу чимээгүй илгээдэг тул дүрмээс өмнө нөөцийг үүсгээрэй.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
Протокол хэлбэрээс илүү чухал. UDP дээрх OpenVPN нь UDP дамжуулалт шаарддаг, WireGuard нь UDP шаарддаг, IPsec өгөгдөл ESP, IP протокол 50 хэлбэрээр ирдэг, түүнд огт порт байхгүй. Зөвхөн TCP эсвэл UDP хүлээж авдаг дамжуулалтын хэлбэр үүнийг илэрхийлж чадахгүй тул IPsec-д портын дүрмийн оронд passthrough эсвэл статик нэг-нэг зураглал хэрэгтэй.
Маршрутлагчийн дээрх давхарга
Дамжуулалт зөвхөн таны эзэмшлийн хөрвүүлэлтийг удирддаг. Хэрэв WAN хаяг таных биш бол, энэ нь операторын NAT-ын ард байх тохиолдол бөгөөд захиалагчид 100.64.0.0/10-ыг хуваалцдаг, RFC 6598-д тайлбарласны дагуу, нийлүүлэгч эхлээд хөрвүүлсэн тул орж ирсэн холболт таны маршрутлагч руу хэзээ ч хүрэхгүй. Таны төхөөрөмж дээрх ямар ч дүрэм энэ дарааллыг засаж чадахгүй.
Давхар NAT нь ижил асуудлын жижиг хувилбар. Таны маршрутлагч ISP-ийн маршрутлагч руу дамжуулдаг бөгөөд түүнд тохирох дүрэм байхгүй тул пакетыг хаядаг. Нэг бол гадаад төхөөрөмж дээр дүрмийг нэмээрэй, эсвэл гадаад төхөөрөмжийг гүүрний горимд оруулж, өөрийнх нь нийтийн хаягыг барихыг зөвшөөрөөрэй.
Тиймээс туршилт гаднаас ирэх ёстой. Нийтийн хаягаар дамжуулан ижил LAN-аас хийсэн туршилт hairpin NAT-ын дэмжлэгээс хамаарах бөгөөд дүрэмтэй холбоогүй шалтгаанаар амжилттай эсвэл бүтэлгүй болж болно; мобайл өгөгдөл дээрх утас эсвэл өөр сүлжээн дэх найз нь илүү цэвэр шалгалт юм.
Дүрмийг хязгаарлаад, дараа нь хоёр хагасыг шалгаарай
Нэг портыг нэг хаяг руу дамжуулаарай. Эхний оролдлогууд бүтэлгүй болсон тул нэмсэн хүрээ нь удирдлагын интерфейс интернетэд гарах зам бөгөөд VPN сонсогчид хажууд нь маршрутлагчийн админ хуудас нийтлэгдэх шаардлагагүй.
Тэр сонсогчийг өмнө нь хамгаалж байсан бүхнийг хадгалаарай: гэрчилгээ эсвэл түлхүүрээр таних, хост галт хана, багцын одоогийн хувилбарууд. Дамжуулалт пакетыг дотогш оруулна; баталгаажуулалт пакет туннель болох эсэхийг шийднэ, ямар нэг зүйл буруу болоход эдгээр нь хоёр тусдаа бүтэлгүйтэл юм.
Шалгалт хоёр хагастай. Гар барилт гадаад сүлжээнээс дуусах ёстой, дараа нь серверийн ард байгаа хувийн нөөц туннелээр хариу өгөх ёстой. Дамжуулалт туннелийн холболтыг дотогш оруулна, үүнээс өөр зүйлгүй; 10.8.0.0/24-ийн маршрутлалт ба эрх олголт нь өөр дэлгэц дээрх өөр тохиргоо.
Гурван асуултаар шийдээрэй
Гурван асуулт сонголтыг ямар ч харьцуулалтын хүснэгтээс хурдан шийднэ:
- Гаднаас ямар нэг зүйл эхний пакет болж холбогддог уу? Тэгвэл дамжуулалт эсвэл реле ашиглаарай. Хэзээ ч байхгүй гадагш урсгалгүйгээр триггер нээгдэж чадахгүй.
- Цоорхой сул зогсолтын цагаас урт амьдрах ёстой юу? Тэгвэл дамжуулалт ашиглаарай, учир нь триггерлэгдсэн зураглал өөрийн хуваарийн дагуу хаагддаг.
- WAN хаяг нийтлэхэд таных уу? Хэрэв тийм биш бол аль ч дүрмийг засахаас өмнө дээд давхаргыг засаарай.
Хэрэв гурвуулаас нь хариулт үгүй бол, энэ нь арилжааны нийлүүлэгч рүү өөрөө залгадаг зөөврийн компьютерын тохиолдол, хоёр дүрмийн аль нь ч хэрэггүй. NAT-ын ард байгаа клиент нь төлөв хадгалсан зураглалыг өөрөө үүсгэдэг тул ажилладаг бөгөөд шөнө дунд портын дамжуулалтын хуудас уншдаг хүмүүсийн ихэнхийг энэ хамардаг.