होम VPN सर्व्हरसाठी पोर्ट ट्रिगरिंग विरुद्ध पोर्ट फॉरवर्डिंग
ट्रिगरिंग आउटबाउंड ट्रॅफिकनंतर मॅपिंग उघडते; फॉरवर्डिंग पोर्ट कायमस्वरूपी मॅप करते। होम VPN सर्व्हरला दुसरे हवे, प्रत्यक्ष लिसनरपुरते मर्यादित।
बहुतेक होम राउटरमध्ये पोर्ट फॉरवर्डिंग आणि पोर्ट ट्रिगरिंग एकाच मेनूमध्ये असतात, म्हणून त्यांना एकच काम करण्याचे दोन मार्ग मानले जाते। फॉरवर्डिंग हा स्थिर नियम आहे: WAN पोर्टवर येणारे इनबाउंड कनेक्शन ठरलेल्या आतील पत्ता आणि पोर्टवर अनुवादित होते, दुसरे काही घडत असो वा नसो। ट्रिगरिंग सशर्त आहे: राउटर आउटबाउंड ट्रॅफिक पाहत राहतो आणि जुळणारे कनेक्शन बाहेर गेल्यावरच इनबाउंड मॅपिंग उघडतो। VPN सर्व्हर दुसरे कोणी आधी जोडले जाण्याची वाट पाहतो, त्यामुळे तीच अट हीच तो कधीही पूर्ण करू शकत नाही अशी एकमेव गोष्ट आहे।
वेगवेगळ्या जीवनचक्रांचे दोन नियम
IPv4 NAT स्थिती ठेवतो। आतील होस्टने पॅकेट बाहेर पाठवले की राउटर मॅपिंग तयार करतो, जेणेकरून उत्तरांना परतीचा रस्ता सापडतो; कोणत्याही मॅपिंगशी जुळणारे नसलेले इनबाउंड पॅकेट टाकून दिले जाते, आणि हेच वर्तन अपडेट न केलेले डेस्कटॉप इंटरनेटबाहेर ठेवते। फॉरवर्डिंग ही हाताने जोडलेली कायमची अनुवाद नोंद आहे। ट्रिगरिंग हे ट्रॅफिक पॅटर्नने राखलेले तात्पुरते भोक आहे।
व्यावहारिक फरक वेळेचा आहे। फॉरवर्डिंग जतन केल्याच्या क्षणापासून कोणी ते हटवेपर्यंत टिकते। ट्रिगर झालेले मॅपिंग ट्रिगर चालल्यानंतर टिकते आणि निष्क्रियता टाइमरवर बंद होते, ग्राहक हार्डवेअरवर ते मिनिटांत मोजले जाते, किंवा रीबूटवर लगेच।
अमूर्त अर्थाने दोन्हीपैकी कोणतेही अधिक सुरक्षित नाही। फॉरवर्डिंग एक पोर्ट सतत उघडा ठेवते; ट्रिगर तो ठराविक आउटबाउंड ट्रॅफिकनंतरच उघडतो। अनोळखी माणसाकडून पहिले पॅकेट स्वीकारावे लागणाऱ्या सेवेसाठी दोन्हींपैकी एकच कामाशी जुळते।
ट्रिगरिंग सर्व्हर प्रकाशित का करणार नाही
VPN सर्व्हर रचनेनेच निष्क्रिय आहे। समोरची बाजू, कॅफेमधील लॅपटॉप असो वा मोबाइल डेटावरील फोन, पहिले पॅकेट पाठवते, आणि राउटरकडे त्यासाठी कोणतेही मॅपिंग नसते। आतून कोणीही ट्रिगर पोर्टवर ट्रॅफिक सुरू केले नाही, म्हणून नियम कधीही चालत नाही आणि हँडशेक सुरू होण्यापूर्वीच कनेक्शन मरते।
ट्रिगरिंग काम करत असल्यासारखे दिसते तिथे ट्रिगर पोर्टवर ट्रॅफिक दुसरे काही निर्माण करत असते: LANवरील क्लायंट, मॉनिटरिंग प्रोब, किंवा सर्व्हरच्याच आउटबाउंड तपासण्या। मग मॅपिंग त्या एका होस्टसाठी उघडते आणि ट्रॅफिक थांबल्यावर बंद होते, त्यामुळे पुढील बाह्य बाजू पुन्हा अयशस्वी होते, तर पहिले यश लॉगमध्ये पुराव्यासारखे पडून राहते।
ट्रिगरिंग सामान्यतः एक-होस्टही असते। अनेक अंमलबजावण्या एका वेळी एकाच आतील उपकरणाला मॅपिंग ठेवू देतात, जे अनेक बाजूंना उत्तर द्यायच्या सर्व्हरसाठी अगदी चुकीचे आहे। हे वैशिष्ट्य बाहेर नियंत्रण कनेक्शन उघडणाऱ्या आणि दुसऱ्या पोर्टवर इनबाउंड डेटा अपेक्षणाऱ्या अॅप्ससाठी बनवले होते, आणि ते अजूनही त्या आकाराला जुळते।
फॉरवर्डिंग प्रत्यक्षात काय मॅप करते
फॉरवर्डिंग ही एक अनुवाद नोंद आहे: WAN पोर्ट आणि प्रोटोकॉलपासून आतील पत्ता आणि पोर्टपर्यंत। तिला दुसऱ्या टोकाला आधीच सुरू असलेला लिसनर हवा, आणि आतील पत्ता जागच्या जागी राहणे हवे। दुसऱ्या मशीनवर जाणारी DHCP लीज प्रत्येक टनेल शांतपणे चुकीच्या होस्टकडे पाठवते, म्हणून नियमापूर्वी राखीव नोंद तयार करा।
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
प्रोटोकॉल फॉर्म दाखवतो त्यापेक्षा अधिक महत्त्वाचा आहे। UDPवरील OpenVPN ला UDP फॉरवर्डिंग हवे, WireGuardला UDP हवे, आणि IPsec डेटा ESP म्हणून, IP प्रोटोकॉल 50 येतो, ज्याला अजिबात पोर्ट नाहीत। फक्त TCP किंवा UDP स्वीकारणाऱ्या फॉरवर्डिंग फॉर्मला ते व्यक्त करता येत नाही, म्हणून IPsecला पोर्ट नियमाऐवजी passthrough किंवा स्थिर एक-ते-एक मॅपिंग हवे।
तुमच्या राउटरवरील स्तर
फॉरवर्डिंग फक्त तुमच्या मालकीच्या अनुवादाला नियंत्रित करते। WAN पत्ता तुमचा नसल्यास, जो कॅरियर-ग्रेड NATच्या मागील बाब आहे जिथे ग्राहक RFC 6598 मध्ये वर्णन केल्याप्रमाणे 100.64.0.0/10 वाटून घेतात, इनबाउंड कनेक्शन कधीही तुमच्या राउटरपर्यंत पोहोचत नाही कारण प्रदात्याने आधी अनुवाद केला आहे। तुमच्या उपकरणावरील कोणताही नियम तो क्रम सुधारू शकत नाही।
दुहेरी NAT हीच समस्या लहान प्रमाणात आहे। तुमचा राउटर ISP राउटरकडे फॉरवर्ड करतो, ज्याकडे जुळणारा नियम नाही आणि तो पॅकेट टाकून देतो। एकतर बाहेरील उपकरणावर नियम जोडा, किंवा बाहेरील उपकरण ब्रिज मोडमध्ये ठेवा आणि तुमचे उपकरण सार्वजनिक पत्ता ठेवू द्या।
म्हणूनच चाचणी बाहेरून आली पाहिजे। सार्वजनिक पत्त्याद्वारे त्याच LANमधून केलेली चाचणी हेअरपिन NAT समर्थनावर अवलंबून असते आणि नियमाशी संबंध नसलेल्या कारणांमुळे उत्तीर्ण किंवा अयशस्वी होऊ शकते; मोबाइल डेटावरील फोन, किंवा दुसऱ्या नेटवर्कवरचा मित्र, ही अधिक स्वच्छ तपासणी आहे।
नियम मर्यादित करा, मग दोन्ही अर्धे तपासा
एक पोर्ट एका पत्त्यावर फॉरवर्ड करा। पहिले प्रयत्न अयशस्वी झाल्यामुळे जोडलेली श्रेणी, अशाच प्रकारे व्यवस्थापन इंटरफेस इंटरनेटवर येतात, आणि VPN लिसनरला शेजारी राउटरचे अॅडमिन पान प्रकाशित करण्याची गरज नाही।
त्या लिसनरचे आधीच संरक्षण करणारे सर्व ठेवा: प्रमाणपत्र किंवा की ओळख, होस्ट फायरवॉल, सध्याच्या पॅकेज आवृत्त्या। फॉरवर्डिंग पॅकेट आत येऊ देते; प्रमाणीकरण ठरवते की पॅकेट टनेल होईल की नाही, आणि काही बिघडल्यास हे दोन वेगळे अपयश आहेत।
तपासणीचे दोन अर्धे आहेत। हँडशेक बाह्य नेटवर्कवरून पूर्ण व्हायला हवा, आणि नंतर सर्व्हरच्या मागील खाजगी संसाधनाने टनेलमधून उत्तर द्यायला हवे। फॉरवर्डिंग टनेल कनेक्शन आत येऊ देते, त्यापेक्षा जास्त नाही; 10.8.0.0/24साठी राउटिंग आणि अधिकृतता दुसऱ्या स्क्रीनवरील दुसरे सेटिंग आहे।
तीन प्रश्नांनी निर्णय घ्या
तीन प्रश्न कोणत्याही तुलना तक्त्यापेक्षा जलद निवड ठरवतात:
- बाहेरून काही पहिले पॅकेट म्हणून जोडते का? तर फॉरवर्डिंग किंवा रिले वापरा। कधीही नसणाऱ्या आउटबाउंड ट्रॅफिकशिवाय ट्रिगरिंग उघडू शकत नाही।
- भोक निष्क्रियतेच्या वेळेपेक्षा जास्त टिकायला हवे का? तर फॉरवर्डिंग वापरा, कारण ट्रिगर झालेले मॅपिंग स्वतःच्या वेळापत्रकाने बंद होते।
- WAN पत्ता प्रकाशित करण्यासाठी तुमचा आहे का? नसल्यास, कोणताही नियम संपादित करण्यापूर्वी वरचा स्तर सुधारा।
तिन्हींचे उत्तर नाही असेल, जो स्वतः व्यावसायिक प्रदात्याला डायल करणाऱ्या लॅपटॉपचा प्रकार आहे, तर दोन्हींपैकी कोणताही नियम लागत नाही। NATच्या मागील क्लायंट काम करतो कारण तो स्वतः स्थिती-धारक मॅपिंग तयार करतो, आणि मध्यरात्री पोर्ट फॉरवर्डिंगचे पान वाचणाऱ्या बहुतेक लोकांना हे लागू होते।