Il-port tas-sors tal-klijent kontra s-semmiegħ tas-server fi fluss VPN
Qabbel iż-żewġ numri tal-port f'tunnel wieħed: is-semmiegħ fiss tas-server u s-sors effimeru tal-klijent, u kif it-traduzzjoni tar-router tinsab bejniethom.
Fi conversazzjoni waħda jidhru żewġ numri, u lanqas waħda mhija ħażina. Il-log tas-server juri s-semmiegħ li joffri s-servizz, il-laptop juri s-socket li bagħat id-datagram, u router bejniethom jista' jikteb mill-ġdid it-tieni waqt il-ħruġ. Il-paragun taż-żewġt trufijiet tal-conversazzjoni huwa aktar utli mill-paragun taċ-ċifri. Il-paragun hawn taħt iżomm is-semmiegħ, is-socket tal-klijent u s-sors tradott separati, għax iwieġbu mistoqsijiet differenti.
Żewġ numri li jiddeskrivu trufijiet opposti
Il-port konfigurat tas-server huwa d-destinazzjoni li l-klijent iċempel. Jiġi fissat mill-politika, jidher fil-profil u jrid ikun miftuħ fuq in-naħa tas-server. Il-port tas-sors tal-klijent jintgħażel lokalment, normalment mill-firxa effimera, u jeżisti biex it-tweġiba jkollha fejn tinżel. Jista' jinbidel f'kull konnessjoni mill-ġdid, u xejn fid-disinn ma jiddependi mill-istabilità tiegħu.
Router bejniethom jista' jikteb mill-ġdid dak is-sors fil-mapping 'NAT' tiegħu stess. Għalhekk in-numru osservat fuq is-server spiss m'għandu l-ebda relazzjoni ma' dak li għażel il-laptop.
Fejn jinbidel in-numru tas-sors waqt il-ħruġ
Ħu eżempju IPv4 ivvintat: klijent wara router li jittraduċi, server b'semmiegħ 'UDP' wieħed, u datagram wieħed li jaqsam it-tnejn. It-tabella ssemmi kull tarf u x'jiġrilu, minflok ma terġa' tilgħab il-pakkett fi tliet punti ta' osservazzjoni.
| Endpoint | What stays fixed | What changes on reconnect | Who owns it |
|---|---|---|---|
| Server listener | The service port and the address the profile names | Nothing; the listener does not follow the client | The server operator |
| Client socket | The destination it dials | The local source port, chosen per socket | The client, or its operating system |
| Translated source | Usually the public address of the router | The port, and sometimes the address after a network switch | The NAT device or the upstream carrier |
Id-destinazzjoni hija kostanti f'kull ringiela, u jinbidel biss l-identità tas-sors. Rekwiżiti tal-UDP NAT jiddistingwu indirizz u port interni mill-mapping estern, li huwa eżattament id-differenza bejn it-tieni u t-tielet ringiela. Router jista' jżomm il-port tas-sors tal-klijent jew jagħżel ieħor; iż-żamma mhijiex xi ħaġa li applikazzjoni għandha tassumi.
Aqra t-tliet trufijiet mill-hosts infushom
Il-listi hawn taħt ġejjin minn tliet magni differenti u flimkien juru l-conversazzjoni kollha. Mexxi l-ewwel waħda fuq is-server, it-tieni fuq il-klijent u t-tielet fejn teżisti l-mapping. Linja waħda ta' log qatt ma turi t-tlieta.
ss -lunp 'sport = :1194'
ss -unp | grep 1194
conntrack -L -p udp | grep 1194L-ewwel lista tipprova li s-server huwa marbut mal-port tas-servizz u turi liema proċess jippossjedih. It-tieni turi s-socket lokali tal-klijent u d-destinazzjoni li ċempel. It-tielet turi l-mapping li ħoloq ir-router, u dak huwa l-uniku post fejn jidher is-sors tradott. Aqrahom f'dik l-ordni u ż-żewġ numri jieqfu jidhru kontradittorji.
X'jinbidel b'konnessjoni mill-ġdid, u x'ma jinbidilx
Xi routers iżommu l-port tas-sors tal-klijent meta jkun ħieles, u oħrajn jallokaw wieħed differenti kull darba. Iż-żewġ imġiba huma normali, u applikazzjoni li titlob l-ewwel waħda tinkiser fit-tieni. Bidla fil-mapping wara konnessjoni mill-ġdid jew bidla fin-network mhijiex ħsara tas-server: il-klijent jiftaħ socket ġdid, ir-router jalloka dak li għandu, u s-server jara sors ġdid fuq l-istess semmiegħ. Ħsara tkun li wieħed jistenna li s-server jaċċetta traffiku indirizzat lejn port tal-klijent arbitrarju.
Il-klijenti OpenVPN tal-komunità jiksbu din l-imġiba permezz ta' nobind, li jħalli lis-sistema operattiva tagħżel il-port lokali; il-port remot xorta jiġi mill-profil. L-irbit espliċitu huwa għażla deliberata, mhux rekwiżit tal-protokoll. Is-server jibqa' joffri tarf wieħed waqt li l-klijenti jagħżlu l-identitajiet lokali tagħhom stess.
Ittikketta s-saffi separatament fir-rekord
Ġewwa t-tunnel hemm it-tieni conversazzjoni bil-ports tagħha. Talba HTTPS li tinġarr mit-tunnel għandha destinazzjoni TCP 443, filwaqt li l-konnessjoni kriptata ta' barra tuża UDP 1194, għalhekk il-bidla tal-port tas-sors ta' barra ma tibdel xejn fis-servizz ta' ġewwa.
Anke fis-saff ta' barra l-protokoll huwa importanti. UDP 1194 u TCP 1194 huma trufijiet differenti, u semmiegħ 'TCP' qatt ma jirċievi datagram UDP għax in-numru jaqbel. Meta tiddokumenta installazzjoni, ittikketta s-semmiegħ tas-server, is-socket tal-klijent u s-sors tradott bħala tliet affarijiet distinti, u żid it-trasport ma' kull wieħed.
Imbagħad ħalli l-politika ssegwi r-rwoli. Is-server jiftaħ it-trasport maħsub fuq is-semmiegħ tiegħu u xorta jawtentika l-pari; il-firewall tal-klijent jammetti t-tweġibiet għall-iskambju tiegħu lejn barra mingħajr ma jippubblika servizz lejn ġewwa. Filtru mingħajr stat jeħtieġ id-direzzjoni tar-ritorn miktuba b'mod espliċitu, u dan huwa r-raġuni prattika għaliex id-distinzjoni hija importanti lil hinn mid-dijagrammi puliti.