VPN fuq ir-router jew passaġġ tal-port: min jirbaħ?

Ir-router itemm il-VPN innifsu, u regola antika ta’ forwarding għadha tibgħat l-istess port UDP lil magna fuq il-LAN. Waħda biss minn dawn tista’ tkun il-punt tat-tmiem veru, u l-kernel ma jagħmilx arbitraġġ bejniethom. It-traduzzjoni tad-destinazzjoni terġa’ tikteb il-pakkett qabel ma tkun ikkonsultata s-servizz lokali, għalhekk il-proċess tal-VPN jistenna traffiku li diġà ntbagħat xi mkien ieħor. Il-kompitu huwa li jkun deċiż min jippossjedi l-port, u mbagħad ir-regoli jaqblu.

Port wieħed, żewġ sidien mitluba

Server VPN li jaħdem ġewwa r-router jeħtieġ permess tad-dħul li jwassal għas-socket tiegħu stess. Entrata tan-NAT tad-destinazzjoni għall-istess port twassal xi mkien ieħor għal kollox: indirizz tal-LAN u deċiżjoni ta’ forwarding. Dawn huma punti tat-tmiem differenti b’logs differenti u modi ta’ falliment differenti. Il-ħjiel tas-soltu huwa li familja waħda ta’ indirizzi taħdem u l-oħra ma taħdimx, għax l-entrata li baqgħet inkisset għal familja waħda u qatt ma ġiet rieżaminata.

Ikteb it-talba qabel ma tedita: familja, indirizz estern, trasport, port u l-mira tradotta.

It-traduzzjoni ssir qabel il-verifika lokali

In-NAT tad-destinazzjoni jibdel il-mira tal-pakkett fl-istadju ta’ qabel ir-routing, qabel ma l-kernel jagħżel bejn konsenja lokali u forwarding. Ladarba l-mira tkun host tal-LAN, il-pakkett jieħu t-triq tal-forwarding. Ir-regoli tad-dħul għas-socket tar-router stess qatt ma jiġu kkonsultati, u għalhekk il-log tal-VPN jibqa’ vojt waqt li l-klijent jistenna.

Intended local entry:
WAN UDP 1194 -> router local socket -> input path

Conflicting old entry:
WAN UDP 1194 -> DNAT 192.168.50.10:1194 -> forward path

Dan l-ordni huwa l-mekkaniżmu kollu, u l-interfaċċi tal-apparati jaħbuh wara kaxxi tal-immakkjar mingħajr ma jbiddluh. Sid tad-destinazzjoni xorta jiddeċiedi liema triq jieħu pakkett.

Jekk il-host tal-LAN huwa l-punt tat-tmiem maħsub, il-forwarding huwa korrett u r-router m’għandux ukoll jisma’ fuq dak il-port.

Żomm mapping wieħed u neħħi l-ieħor

Elenka l-entrati tan-NAT għal dak il-port u familja u agħżel min jibqa’ ħaj:

sudo iptables -t nat -S | grep 1194
sudo ss -lunp | grep :1194

Entrata TCP bl-istess numru mhijiex rilevanti għal falliment UDP, u li jitqiesu bħala oġġett wieħed iwassal biex titħassar ir-regola żbaljata. Meta s-socket lokali għandu jirbaħ, sid il-mapping konfliġġenti jneħħi jew jerġa’ jikteb dik l-entrata waħda, u l-permess tad-dħul għall-port tar-router stess jibqa’ f’postu. Forwardings mhux relatati, it-triq tal-ġestjoni u kopja tas-sett tar-regoli għandhom kollha jgħaddu mill-bidla.

Jekk il-VPN jgħix fuq host separat, il-forwarding huwa l-oġġett it-tajjeb. Servizz f’container jew magna virtwali jista’ jkollu bżonn port ippubblikat anki meta l-kaxxa tissejjaħ router, għalhekk segwi s-socket u n-namespace tiegħu, mhux it-tikketta fuq il-kaxxa.

Ivverifika s-sid minn barra

Ittestja kull familja b’mod separat, għax konnessjoni IPv6 li tintemm fuq ir-router ma tgħid xejn dwar konnessjoni IPv4 li regola antika tidderieġi mill-ġdid. Aqra l-log tas-servizz li jirċievi biex tara liema punt tat-tmiem wieġeb, u qis il-messaġġ ta’ suċċess tal-klijent bħala prova dgħajfa. Fluss ġdid huwa meħtieġ għal test sinifikanti. Ibgħat probe minn host estern bi nc -zvu 203.0.113.7 1194 u aqra l-log tar-rebbieħ bi journalctl -u openvpn@server -n 20. Is-smiegħ tar-router jirreġistra l-konnessjoni stess, filwaqt li host tal-LAN jirreġistraha fis-servizz tiegħu.

It-traċċar tal-konnessjonijiet iżomm il-flussi eżistenti fuq il-mapping oriġinali tagħhom, għalhekk sessjoni stabbilita tista’ tgħix aktar mir-regola li għadek kemm sewwaħt.

Ladarba l-punt tat-tmiem maħsub iwieġeb bil-verifiki tal-identità tas-soltu tiegħu, ittestja riżors privat wara t-tunnel. Li tasal għas-smiegħ ta’ barra hija biss l-ewwel qabża; ir-routing intern u l-awtorizzazzjoni tal-applikazzjoni huma riżultati separati.