Il-portijiet UDP fissi jistgħu jaqbeż il-port forwarding, imma mhux kull NAT

Firewall b'qagħda jammetti l-pakkett tal-peer bħala traffiku lura meta ż-żewġ trufijiet jiffissaw port wieħed. Hawn meta dan jaħdem, u x'itemmu bil-kwiet.

Żewġ routers tad-dar, ebda port mibgħut 'il quddiem, u VPN li xi drabi xorta jikkonnettja. UDP jippermetti dan, għax firewall jammetti pakkett li jista' jqabblu ma' fluss li l-magna diġà bdiet. Din hija trick kundizzjonali, mhux karatteristika, u l-kundizzjonijiet huma faċli biex jingħadu ladarba tkun taf x'qed iqabbel il-firewall. Huma wkoll ir-raġuni għaliex profili identiċi jġibu ruħhom differenti fuq netwerks differenti.

It-tqabbil li jagħmel il-firewall

Kull datagramma ħierġa toħloq entrata ta' żmien qasir: indirizz tas-sors, port tas-sors, indirizz tad-destinazzjoni, port tad-destinazzjoni. Kull ma jasal u jaqbel mal-entrata jiġi trattat bħala tweġiba u jitħalla jgħaddi. Ir-regoli tad-dħul m'għandhomx x'jaqsmu.

Mela l-mistoqsija mhijiex jekk il-firewall iħallix il-peer jidħol. Hija jekk il-pakkett tal-peer jidhirx bħat-tweġiba li l-entrata qed tistenna. Ibdel qasam wieħed minn dik l-erba' partijiet u l-pakkett isir barrani. Għalhekk konfigurazzjoni li taħdem tista' tinkiser meta jinbidel biss in-numru tal-port, u għalhekk l-istess port jista' jaħdem fuq router u jonqos fuq dak li jmiss.

Iffissa l-port tas-sors lokali, u l-istess numru jidher fuq iż-żewġ naħat tal-iskambju. Dan hu l-mekkaniżmu kollu, u jispjega għaliex it-trick huwa fraġli u mhux misterjuż.

L-iffissar ta' port wieħed f'kull tarf

Il-port UDP awtomatiku ta' OpenVPN huwa 1194, u lport jistabbilixxi l-port tas-sors li minnu jibgħat. Iffissa ż-żewġ peers u l-erba' partijiet ħierġa ta' kull wieħed tindika lejn port li l-ieħor qed jisma' fuqu:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Dan jaħdem biss sakemm ebda router bejniethom ma jerġa' jikteb il-port tas-sors. Meta l-pakketti jidhru f'qabda imma l-ebda tunnel ma jogħla, l-iktib mill-ġdid huwa l-ewwel suspettat.

Fejn l-erba' partijiet tieqaf taqbel

NAT li jimmappja skont id-destinazzjoni jagħti lil kull peer port estern differenti. L-indirizz li ngħad lil peer tiegħek biex juża mhuwiex l-indirizz li jasal għandu, għalhekk il-pakkett deħlin ma jaqbel ma' xejn u jintrema bil-kwiet.

It-traduzzjoni fil-livell tal-operatur, NAT imżewwqa u l-każwaliżmu tal-ports kollha jispiċċaw l-istess. Hekk ukoll kull kaxxa tan-nofs li tikteb mill-ġdid il-ports filwaqt li tħalli l-indirizzi.

It-trasport tal-fluss huwa agħar. Handshake TCP jiġi segwit pass pass, għalhekk VPN ibbażat fuq TCP ma jistax jitqatta' b'dan il-mod xejn u jeħtieġ semmiegħ xi mkien fit-triq.

Normalment naħa waħda tonqos l-ewwel

Fil-prattika ż-żewġ netwerks rari jġibu ruħhom l-istess. Router wieħed jista' jagħti mappatura prevedibbli filwaqt li l-ieħor jagħti ports skont id-destinazzjoni, u r-riżultat huwa konfigurazzjoni li taħdem bejn żewġ djar u tonqos minn netwerk mobbli. Rapporti li jikkontradixxu lil xulxin normalment jiddeskrivu żewġ pari routers differenti. L-ebda awtur mhu żbaljat, u l-ebda riżultat mhu ġeneralizzabbli.

Sib liema naħa waqqgħet il-pakkett qabel ma tmiss il-profili. Qabdiet f'żewġ trufijiet isolvuha fi prova waħda: datagrammi li joħorġu minn A u qatt ma jaslu għand B ifissru li l-fluss inkiteb mill-ġdid fit-triq, filwaqt li datagrammi li jaslu għand B mingħajr tweġiba ma terġa' lura ifissru li l-firewall ma aċċettahomx bħala relatati.

Żewġ peers b'indirizzi IPv6 pubbliċi jevitaw il-problema kollha. Mingħajr traduzzjoni m'hemm xejn x'jaqbel, għalhekk regola tal-firewall li ssemmi l-peers hija biżżejjed u d-disinn jieqaf jiddependi mill-imġiba tar-router.

Meta tieqaf tipprova

Host b'indirizz pubbliku huwa t-tweġiba affidabbli. Jista' jtemm it-tunnel għaż-żewġ peers, jew sempliċement jgħinhom jiskopru l-indirizz estern attwali ta' xulxin, u ż-żewġ arranġamenti jaħdmu tkun x'inhi tagħmel in-NAT. Overlay ġestit jipprovdi l-istess koordinazzjoni jekk il-politika tippermetti.

Xejn minn dawn m'għandu bżonn firewall mitfi. Li titfi l-protezzjoni biex tirbaħ il-konnessjoni diretta jwaddab ir-raġuni għaliex il-prova diretta kienet attraenti, u jħalli l-magna miftuħa għad-durata kollha tat-test.

Ipprova l-arranġament dirett l-ewwel, imbagħad innota dak li rajt. L-imġiba tan-NAT u l-qabda li wrietu tiswa iktar mill-par ports li fl-aħħar użajt, għax in-netwerk li jmiss se jkun differenti. Il-manwal ta' OpenVPN 2.6 jiddokumenta lport u l-għażliet remote li dan jiddependi fuqhom.

Artikli relatati