Port UDP tetap boleh melangkau pemajuan port, tetapi bukan setiap NAT

Dua penghala rumah, tiada port dimajukan, dan VPN yang kadang-kadang tetap bersambung. UDP membenarkannya, kerana tembok api akan menerima paket yang boleh dipadankannya dengan aliran yang sudah dimulakan mesin. Ini helah bersyarat, bukan ciri, dan syaratnya mudah dinyatakan setelah anda tahu apa yang dibandingkan tembok api. Itu juga sebab profil yang sama berkelakuan berbeza pada rangkaian berbeza.

Perbandingan yang dibuat tembok api

Setiap datagram keluar mencipta entri jangka pendek: alamat sumber, port sumber, alamat destinasi, port destinasi. Apa-apa yang tiba dan sepadan dengan entri itu dianggap balasan dan dilepaskan. Peraturan masuk tidak memainkan peranan di sini.

Jadi soalannya bukan sama ada tembok api membenarkan rakan masuk. Soalannya sama ada paket rakan kelihatan seperti balasan yang ditunggu entri itu. Tukar satu medan daripada tuple empat bahagian itu dan paket menjadi orang asing. Itulah sebab pemasangan yang berfungsi boleh rosak apabila hanya nombor port berubah, dan sebab port yang sama boleh berfungsi pada satu penghala dan gagal pada yang seterusnya.

Tetapkan port sumber tempatan, dan nombor yang sama muncul di kedua-dua belah pertukaran. Itulah keseluruhan mekanisme, dan ia menjelaskan mengapa helah itu rapuh dan bukan misteri.

Menetapkan satu port pada setiap hujung

Port UDP lalai OpenVPN ialah 1194, dan lport menetapkan port sumber yang digunakan untuk menghantar. Tetapkan kedua-dua rakan dan tuple keluar setiap satu menunjuk ke port yang didengar oleh yang lain:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Ini hanya berfungsi selagi tiada penghala di antara mereka menulis semula port sumber. Apabila paket muncul dalam tangkapan tetapi tiada terowong naik, penulisan semula ialah suspek pertama.

Di mana tuple berhenti sepadan

NAT yang memetakan mengikut destinasi memberikan setiap rakan port luaran yang berbeza. Alamat yang diberitahu kepada rakan anda untuk digunakan bukan alamat yang sampai kepadanya, jadi paket masuk itu tidak sepadan dengan apa-apa dan dibuang secara senyap.

Terjemahan peringkat pembawa, NAT bertindan dan pengacakan port semuanya berakhir sama. Begitu juga mana-mana kotak tengah yang menulis semula port sambil membiarkan alamat.

Pengangkutan aliran lebih teruk. Jabat tangan TCP dijejaki langkah demi langkah, jadi VPN berasaskan TCP sama sekali tidak boleh ditebuk dengan cara ini dan memerlukan pendengar di suatu tempat di laluan.

Biasanya satu pihak gagal dahulu

Dalam amalan kedua-dua rangkaian jarang berkelakuan sama. Satu penghala mungkin memberikan pemetaan yang boleh diramal manakala yang lain memberikan port mengikut destinasi, dan hasilnya ialah konfigurasi yang berfungsi antara dua rumah dan gagal dari rangkaian mudah alih. Laporan yang bercanggah biasanya menggambarkan dua pasangan penghala yang berbeza. Tiada penulis yang salah, dan tiada hasil yang boleh digeneralisasikan.

Ketahui pihak mana yang menggugurkan paket sebelum menyentuh profil. Tangkapan di kedua-dua hujung menyelesaikannya dalam satu percubaan: datagram yang meninggalkan A dan tidak pernah sampai ke B bermakna aliran ditulis semula dalam perjalanan, manakala datagram yang sampai ke B tanpa balasan kembali bermakna tembok api tidak menerimanya sebagai berkaitan.

Dua rakan dengan alamat IPv6 awam mengelak keseluruhan masalah. Tanpa terjemahan tiada apa untuk dipadankan, jadi peraturan tembok api yang menamakan rakan-rakan sudah memadai dan reka bentuk berhenti bergantung pada tingkah laku penghala.

Bila perlu berhenti mencuba

Hos dengan alamat awam ialah jawapan yang boleh diharap. Ia boleh menamatkan terowong untuk kedua-dua rakan, atau sekadar membantu mereka menemui alamat luaran semasa satu sama lain, dan kedua-dua susunan berfungsi apa pun yang NAT lakukan. Lapisan tindanan terurus menyediakan penyelarasan yang sama jika dasar mengizinkannya.

Tiada satu pun daripada ini memerlukan tembok api dimatikan. Mematikan perlindungan untuk memenangi sambungan langsung membuang sebab cubaan langsung itu menarik, dan membiarkan mesin terbuka sepanjang ujian.

Cuba susunan langsung dahulu, kemudian catat apa yang anda lihat. Tingkah laku NAT dan tangkapan yang menunjukkannya lebih bernilai daripada pasangan port yang akhirnya anda gunakan, kerana rangkaian seterusnya akan berbeza. manual OpenVPN 2.6 mendokumenkan lport dan pilihan remote yang bergantung padanya.