Tqanqil tal-port kontra trasferiment tal-port għal server VPN fid-dar
It-tqanqil jiftaħ mappa wara traffiku ta’ ħruġ; it-trasferiment jimmapja l-port b’mod permanenti. Server VPN fid-dar jeħtieġ it-tieni wieħed, limitat għas-semmiegħ reali.
It-trasferiment tal-port u t-tqanqil tal-port jinsabu fl-istess menu fuq il-biċċa l-kbira tar-router tad-dar, u għalhekk jitqiesu bħala żewġ modi kif issir ħaġa waħda. It-trasferiment hija regola statika: konnessjoni deħlin lejn port WAN tiġi tradotta f’indirizz u port interni fissi, kemm jekk qed jiġri xi ħaġa oħra u kemm jekk le. It-tqanqil huwa kundizzjonali: ir-router jara t-traffiku tal-ħruġ u jiftaħ mappa deħlin biss wara li joħroġ konnessjoni li taqbel. Server VPN jistenna li ħadd ieħor jikkonetta l-ewwel, u għalhekk dik il-kundizzjoni hija l-unika ħaġa li qatt ma jista’ jissodisfa.
Żewġ regoli b’ċikli tal-ħajja differenti
In-NAT tal-IPv4 huwa b’stat. Meta host intern jibgħat pakkett ’il barra, ir-router joħloq mappa sabiex it-tweġibiet isibu t-triq lura; pakkett deħlin li ma jaqbel ma’ ebda mappa jintrema, u dan l-imġiba hija dik li żżomm desktop mhux aġġornat barra mill-internet. It-trasferiment huwa entrata ta’ traduzzjoni permanenti miżjuda bl-idejn. It-tqanqil huwa toqba temporanja mħarsa minn mudell ta’ traffiku.
Id-differenza prattika hija l-ħin. Trasferiment jeżisti mill-mument li jiġi salvat sakemm xi ħadd iħassru. Mappa mqanqla teżisti wara li jieħu n-nar it-tqanqil u tagħlaq b’tajmer ta’ inattività, imkejjel bil-minuti fuq hardware tal-konsumatur, jew minnufih meta jerġa’ jibda.
L-ebda waħda mhi aktar sigura b’mod astratt. It-trasferiment jesponi port wieħed b’mod kontinwu; it-tqanqil jesponih biss wara traffiku ta’ ħruġ speċifiku. Għal servizz li jrid jaċċetta l-ewwel pakkett minn barrani, waħda biss miż-żewġ taqbel mal-ħidma.
Għaliex it-tqanqil mhux se jippubblika server
Server VPN huwa passiv bid-disinn tiegħu. Is-sieħeb, kemm jekk laptop f’kafè jew telefon fuq data mobbli, jibgħat l-ewwel pakkett, u r-router m’għandux mappa għalih. Xejn ġewwa ma beda traffiku lejn il-port tat-tqanqil, u għalhekk ir-regola qatt ma tieħu n-nar u l-konnessjoni tmut qabel ma jibda l-handshake.
Fejn it-tqanqil jidher li jaħdem, xi ħaġa oħra qed tiġġenera traffiku fuq il-port tat-tqanqil: klijent fuq il-LAN, sonda ta’ monitoraġġ, jew il-verifiki tal-ħruġ tas-server stess. Imbagħad il-mappa tinfetaħ għal dak il-host wieħed u tagħlaq meta jieqaf it-traffiku, u għalhekk is-sieħeb estern li jmiss jerġa’ jfalli waqt li l-ewwel suċċess jibqa’ fil-log u jidher bħala prova.
It-tqanqil normalment huwa wkoll għal host wieħed. Ħafna implimentazzjonijiet iħallu apparat intern wieħed biss iżomm il-mappa fi kwalunkwe ħin, li huwa eżattament ħażin għal server li għandu jwieġeb lil diversi sħab. Il-karatteristika nbniet għal applikazzjonijiet li jiftħu konnessjoni ta’ kontroll ’il barra u jistennew data deħlin fuq it-tieni port, u għadha taqbel ma’ dik il-forma.
X’qed jimmapja t-trasferiment tassew
It-trasferiment huwa entrata waħda ta’ traduzzjoni: port u protokoll WAN lejn indirizz u port interni. Jeħtieġ semmiegħ li diġà qed jaħdem fit-tarf l-ieħor, u jeħtieġ li l-indirizz intern jibqa’ fejn hu. Kirja DHCP li tmur fuq magna oħra tibgħat kull tunnel lejn il-host żbaljat, bil-kwiet, u għalhekk oħloq ir-riżerva qabel ir-regola.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
Il-protokoll huwa aktar importanti milli jissuġġerixxi l-formola. OpenVPN fuq UDP jeħtieġ trasferiment UDP, WireGuard jeħtieġ UDP, u d-data tal-IPsec tasal bħala ESP, protokoll IP 50, li m’għandux ports xejn. Formola ta’ trasferiment li taċċetta biss TCP jew UDP ma tistax tesprimi dan, u għalhekk l-IPsec jeħtieġ passthrough jew mappa statika wieħed għal wieħed minflok regola tal-port.
Is-saff ta’ fuq ir-router tiegħek
It-trasferiment jikkontrolla biss it-traduzzjoni li hija tiegħek. Jekk l-indirizz WAN mhuwiex tiegħek, li huwa l-każ wara NAT tal-operatur fejn l-abbonati jaqsmu 100.64.0.0/10 kif deskritt fl-RFC 6598, il-konnessjoni deħlin qatt ma tasal għand ir-router tiegħek għax il-fornitur ittraduċa l-ewwel. L-ebda regola fuq l-apparat tiegħek ma tista’ tiffissa dak l-ordni.
NAT doppju huwa l-istess problema fuq skala żgħira. Ir-router tiegħek jittrasferixxi lejn ir-router tal-ISP, li m’għandux regola li taqbel u jarmi l-pakkett. Jew żid ir-regola fuq l-apparat ta’ barra, jew poġġi l-apparat ta’ barra fil-mod pont u ħalli tiegħek iżomm l-indirizz pubbliku.
Għalhekk it-test irid jiġi minn barra. Test mill-istess LAN permezz tal-indirizz pubbliku jiddependi fuq appoġġ tal-hairpin NAT u jista’ jgħaddi jew ifalli għal raġunijiet mhux marbuta mar-regola; telefon fuq data mobbli, jew ħabib fuq netwerk ieħor, huwa l-verifika aktar nadifa.
Illimita r-regola, imbagħad ivverifika ż-żewġ nofsijiet
Ittrasferixxi port wieħed lejn indirizz wieħed. Firxa miżjuda għax l-ewwel tentattivi falla hija kif l-interfaċċi tal-ġestjoni jispiċċaw fuq l-internet, u s-semmiegħ tal-VPN m’għandux bżonn il-paġna tal-amministrazzjoni tar-router ippubblikata ħdejh.
Żomm kull ma kien diġà jipproteġi dak is-semmiegħ: identità b’ċertifikat jew ċavetta, firewall tal-host, verżjonijiet attwali tal-pakketti. It-trasferiment iħalli pakkett jidħol; l-awtentikazzjoni tiddeċiedi jekk il-pakkett isirx tunnel, u dawn huma żewġ fallimenti separati meta xi ħaġa tmur ħażin.
Il-verifika għandha żewġ nofsijiet. L-handshake irid jitlesta minn netwerk estern, u mbagħad riżors privat wara s-server irid iwieġeb mit-tunnel. It-trasferiment jammetti l-konnessjoni tat-tunnel u xejn aktar; l-instradar u l-awtorizzazzjoni għal 10.8.0.0/24 huma setting ieħor fuq skrin ieħor.
Iddeċiedi b’tliet mistoqsijiet
Tliet mistoqsijiet jsolvu l-għażla aktar malajr minn kwalunkwe tabella ta’ tqabbil:
- Xi ħaġa tikkonnetta minn barra bħala l-ewwel pakkett? Mela uża trasferiment, jew relay. It-tqanqil ma jistax jinfetaħ mingħajr traffiku ta’ ħruġ li qatt mhu se jeżisti.
- It-toqba trid tgħix aktar mill-ħin ta’ inattività? Mela uża trasferiment, għax mappa mqanqla tagħlaq skont l-iskeda tagħha stess.
- L-indirizz WAN huwa tiegħek biex tippubblikah? Jekk mhuwiex, sewwi s-saff ta’ fuq qabel ma teditja kwalunkwe regola.
Jekk it-tweġiba għat-tlieta hija le, li huwa l-każ ta’ laptop li jċempel fornitur kummerċjali hu stess, l-ebda waħda miż-żewġ regoli mhi meħtieġa. Klijent wara NAT jaħdem għax joħloq hu stess il-mappa b’stat, u dan ikopri l-biċċa l-kbira tan-nies li jaqraw paġna dwar it-trasferiment tal-port f’nofs il-lejl.