तुम्ही कॉन्फिगर करू शकत नाही अशा NAT मागील VPN: अजून काय चालते

प्रत्येक टनेल एंडपॉइंटला असा पत्ता आणि पोर्ट लागतो जिथे दुसरी बाजू पोहोचू शकेल, आणि तुम्ही प्रशासित न करता तो राउटर ही या आवश्यकतेच्या अपयशाची नेहमीची कारणे आहे. मनोरंजक गोष्ट युक्त्या अस्तित्वात असणे नाही, तर प्रत्येक युक्ती क्लायंटवरून न दिसणाऱ्या मॅपिंग टेबलच्या गुणधर्मावर अवलंबून असणे आहे. त्यापैकी दोन गुणधर्म जवळपास सर्व काही ठरवतात: मॅपिंग कसे तयार होते, आणि आतली बाजू कधीही संपर्क न केलेल्या पत्त्यावरून ते पॅकेट स्वीकारते का. वातावरण या गुणधर्मांनुसार वर्गीकृत करा आणि उपाय लोककथा राहणे थांबते.

मॅपिंग टेबल सर्व काही ठरवते

नेटवर्क पत्ता अनुवाद अशी टेबल ठेवतो ज्यात अंतर्गत पत्ता आणि पोर्ट सार्वजनिक पत्ता आणि पोर्टसमोर नोंदवले जातात. नोंदीशी जुळणारी उत्तरे परत अनुवादली जातात, आणि जुळणारी नोंद नसलेल्या बाहेरून येणाऱ्या पॅकेटला कोणतेही गंतव्यच नसते. हे एकच वर्तन राउटरमागील श्रोता इंटरनेटवरून पोहोचता येत नाही हे स्पष्ट करते. प्रत्येक दिशेतील पहिले पॅकेट आतूनच सुरू व्हायला हवे हेही ते स्पष्ट करते.

राउटरच्या बाजूने टेबल पाहा आणि उपाय स्पष्ट होतात: एकतर काहीतरी कायमस्वरूपी नोंद तयार करते, किंवा तात्पुरती नोंद तयार करून ती ताजी ठेवते, किंवा रहदारी त्या मार्गाने कधीच जात नाही. या लेखाचा उर्वरित भाग त्या तीन प्रकरणांचा क्रमाने आहे. येथे काहीही टेबल नोंदवते त्यापलीकडील विक्रेता वैशिष्ट्यावर अवलंबून नाही.

भेट सेवा काय करू शकते आणि काय करू शकत नाही

UDP होल पंचिंग फिल्टर हरवण्याऐवजी बाहेर जाणाऱ्या नोंदीचा तात्पुरता छिद्र म्हणून वापर करते. दोन्ही सहकारी भेट सेवेशी संपर्क साधतात, जी प्रत्येक सार्वजनिक एंडपॉइंट शिकते आणि दुसऱ्या बाजूला तिचा एंडपॉइंट परत कळवते. नंतर दोन्ही एकमेकांकडे पाठवतात, आणि प्रत्येक बाहेर जाणारे पॅकेट उत्तर आत येऊ देणारी नोंद तयार करते किंवा ताजी करते. क्रमामुळेच ते चालते, आणि क्रमामुळेच ते नाजूक होते: दुसरी बाजू तिची नोंद तयार करण्यापूर्वी पाठवणारा सहकारी फक्त वगळला जातो, तर क्षणभरानंतरचा पुनःप्रयत्न यशस्वी होतो. सेवा स्वतः कोणतीही VPN रहदारी वाहत नाही, म्हणून तिचा एकमेव लाभ ती समन्वयित करणारी वेळ आहे.

मॅपिंग वर्तन उर्वरित ठरवते, आणि RFC 4787 तीन आकार सांगते: एंडपॉइंट-स्वतंत्र, पत्ता-अवलंबून, आणि पत्ता व पोर्ट-अवलंबून. शेवटच्यात सहकारी ज्या पोर्टला लक्ष्य करतो तो प्रत्येक गंतव्यासोबत बदलतो, त्यामुळे अंदाज विश्वासार्ह राहत नाही. तिथेच हे तंत्र आपल्या अडचणीत येते, कारण कॅरियर-ग्रेड NAT आणि कठोर कॉर्पोरेट फायरवॉल दोन्ही योजनेला आवश्यक असलेला अंदाज नष्ट करतात, आणि कितीही पुनःप्रयत्न केले तरी तो परत येत नाही.

कीपअलाइव्ह, रीबूट आणि सरकणारा एंडपॉइंट

भोक पाडलेला मार्ग श्रोता नाही तर प्रवाह आहे, त्यामुळे त्यावर चालणाऱ्या प्रत्येक गोष्टीने बदल सहन केला पाहिजे. नियतकालिक रहदारीने मॅपिंग जिवंत ठेवले पाहिजे, सार्वजनिक एंडपॉइंट कधी सरकतो हे लक्षात घेतले पाहिजे, आणि राउटर रीबूट झाल्यावर किंवा पत्ता पुन्हा दिल्यावर पुन्हा स्थापित व्हावे. मेश VPN उत्पादने हे तर्क त्यांच्या स्वतःच्या नियंत्रण स्तरात ठेवतात, तर साधा सर्व्हर तो तुमच्यावर सोडतो. कीपअलाइव्ह फक्त तोच मॅपिंग टिकेपर्यंत मदत करतात, आणि मोबाइल क्लायंटवर ते बॅटरी खातात, म्हणून आक्रमक अंतराल मोफत नाही.

तासभर झोपलेला लॅपटॉप सहसा वेगळ्या सार्वजनिक एंडपॉइंटवर परत येतो. मार्ग पुन्हा स्थापित करणाऱ्याला पुन्हा आतून चालावे लागते, यामुळे तीच अट क्लायंटवर परत येते.

गहाळ फॉरवर्डभोवती तीन मार्ग

पहिला मार्ग राउटरला स्वतः नोंद तयार करायला सांगतो, UPnP IGD, NAT-PMP किंवा PCP मार्गे, वैशिष्ट्य असल्यास आणि सुरू असल्यास. दुसरा रहदारी सार्वजनिक पत्ता असलेल्या रिलेकडे सोपवतो, जो नेहमी चालतो आणि नेहमी बँडविड्थसह वेगळी विश्वास-सीमा खर्च करतो. तिसरा दिशा उलटतो: अंतर्गत होस्ट सार्वजनिक सर्व्हरकडे बाहेर जाणारी टनेल उघडतो आणि बाकी सर्व त्यात बसते.

[Peer]
PublicKey = 6yGj3kQ2wVb8sTn1pLx4dRc7hZa9mKf2uYe5oNq0iXw=
Endpoint = relay.corp.internal:51820
PersistentKeepalive = 25
AllowedIPs = 10.44.0.0/24

रिले एंडपॉइंट ती देवघेव क्लायंट कॉन्फिगरेशनमध्ये दृश्यमान करतो, जिथे एंडपॉइंट सहकाऱ्याचा स्वतःचा पत्ता नसून रिले असतो. कायमचा कीपअलाइव्ह मॅपिंग उबदार ठेवतो, आणि परवानगी दिलेले प्रीफिक्स क्लायंट त्यातून काय पाठवू शकतो हे ठरवतात. अंतर्गत होस्टकडून उलटी टनेल वेगळ्या मालकासह तीच कल्पना आहे, आणि तिला NAT मध्ये कोणताही बदल लागत नाही. तिन्हींपैकी प्रत्येक आवक अट काढते, पण डिझाइननुसार न मागितलेली रहदारी अडवणाऱ्या फायरवॉलला हरवत नाही, कारण रहदारी अजूनही आतूनच सुरू होते.

उपाय राउटरच्या मालकाशी जुळवा

तुम्ही राउटर प्रशासित करत असाल, तर स्थिर UDP फॉरवर्ड कोणत्याही पंचिंग योजनेपेक्षा सोपा लेखापरीक्षित होतो आणि तुम्हाला दिसणाऱ्या पद्धतीने अपयशी होतो. नसल्यास, विक्रेता रिले किंवा होस्टेड नियंत्रण स्तर देतो का आणि धोरण त्याचा वापर परवानगी देईल का ते शोधा. दोन्ही नसल्यास, उरलेले पर्याय उलटी टनेल किंवा एंडपॉइंट बाहेरून पोहोचण्यायोग्य नाही हे स्वीकारणे हे आहेत. तुम्ही कोणता वापरला हे नोंदवणे ऐकायला जाते त्यापेक्षा महत्त्वाचे आहे, कारण पर्याय रहदारी कोण पाहू शकतो आणि तिसरा पक्ष काही बदलल्यास काय होते यात भिन्न आहेत.

तुम्ही ज्या मार्गावर पोहोचलात तो थेट होता की रिलेमार्गे, हे लक्षात घ्या, कारण ही एकच गोष्ट विलंब आणि अपयश वर्तन दोन्हीचा अंदाज देते. RFC 4787 हे सर्वांच्या खालील मॅपिंग वर्तनाचा संदर्भ राहते, आणि त्याचा मॅपिंग विभाग वाचणे तीन उपाय क्रमाने तपासण्यापेक्षा वेगवान आहे. तुम्ही कोणता पर्याय निवडला याची टेबलला पर्वा नाही; पुढील पॅकेटला काय करता येईल एवढेच ती नोंदवते.