NAT simmetriku u VPN: ikejjel il-mapping, mhux it-tikketta

Ħajta ta’ appoġġ tintemm bid-deċiżjoni “NAT simmetriku, il-VPN mhux se jaħdem hawn”, u mbagħad il-klijent jiġi installat mill-ġdid tliet darbiet mingħajr raġuni. It-tikketta tagħmel ħsara għax twieġeb mistoqsija li ħadd ma staqsa. Klijent li jikkonnettja ’l barra ma’ server fiss joħloq mapping fil-mument li jibgħat l-ewwel pakkett, u t-tweġiba titħalla tirritorna skont regoli li kważi kull netwerk jimplimenta. Dak li l-mapping li jiddependi mill-punt tat-tarf verament jikkumplika huwa żewġ pari li jippruvaw jilħqu lil xulxin fl-istess ħin, u dan huwa test differenti.

Żewġ mistoqsijiet jinħbew wara tikketta waħda

L-ewwel mistoqsija hija jekk host wara dan in-netwerk jistax jiftaħ sessjoni lejn indirizz pubbliku u port magħrufa. Għal klijent tal-mina dan huwa l-każ normali, u t-tweġiba hija kważi dejjem iva. Ir-router jirreġistra s-sors intern, jalloka port estern, u jħalli t-tweġiba tgħaddi għax tappartjeni għal sessjoni li bdiet minn ġewwa.

It-tieni mistoqsija hija jekk żewġ hosts wara netwerks differenti jistgħux isibu triq komuni u jibagħtu lil xulxin mingħajr server fin-nofs. Dan jiddependi minn kif kull netwerk jalloka dawk il-ports esterni, u huwa l-uniku post fejn l-imġiba tal-mapping hija importanti.

It-taħlit taż-żewġ jagħti d-dijanjosi żbaljata klassika: karatteristika bejn il-pari tfalli, xi ħadd iħaddem test tat-tip NAT, jara l-agħar kategorija, u jikkonkludi li lanqas il-mina ordinarja ma tista’ taħdem. Il-mina qatt ma kienet dak li falla.

Il-mapping u l-iffiltrar huma żewġ proprjetajiet separati

It-terminoloġija tal-RFC hija aktar preċiża mill-ismijiet li jużaw il-fornituri, u tiswa li tinġieb fit-ticket għax issolvi d-diskussjonijiet. Il-mapping huwa kif jiġi allokat il-port estern. L-iffiltrar huwa liema pakketti deħlin jitħallew jgħaddu. Netwerk jista’ jkun strett f’wieħed u liberali fl-ieħor, u dik il-kombinazzjoni hija dak li protokoll bejn il-pari irid jissupera.

It-tielet ringiela hija dak li l-biċċa l-kbira tar-routers tal-konsumatur u l-operaturi mobbli jifhmu b’simmetriku. Innota li t-tikketta tiddeskrivi biss l-allokazzjoni. Netwerk b’dak il-mapping u b’iffiltrar liberali xorta jista’ jaċċetta pakketti deħlin lejn il-port li għadu kemm alloka, u għalhekk it-tqattigħ tal-toqob jirnexxi fuq uħud u jfalli fuq oħrajn.

L-iffiltrar għandu t-tliet każijiet tiegħu u l-isem tiegħu għal kull wieħed. Li tikteb “NAT simmetriku” fi ticket meta tkun qed tfisser “iffiltrar li jiddependi mill-indirizz u mill-port” tibgħat lill-persuna li jmiss fil-kapitlu żbaljat tal-manwal. It-tnejn iġibu ruħhom b’mod differenti fit-test, għalhekk l-iżball mhuwiex akkademiku.

Kejjel il-mapping minflok ma tagħtih isem

Tista’ tosserva l-port allokat direttament minn naħa tas-server ta’ kwalunkwe servizz UDP li tikkontrolla. Ibda qabda fuq il-host pubbliku, ibgħat mill-klijent, u aqra l-port tas-sors li bih wasal il-pakkett:

sudo tcpdump -ni eth0 -c 10 'udp port 51820'
sudo wg show wg0 endpoints
sudo conntrack -L -p udp --dport 51820

Il-linja tal-punt tat-tarf hija l-aktar utli mit-tlieta, għax WireGuard jirreġistra l-aħħar indirizz u port li rċieva minn kull pari. Qabbel dak il-port ma’ dak li l-klijent jaħseb li qed juża. Huma se jkunu differenti kull darba li ssir xi traduzzjoni, u il-mistoqsija importanti hija jekk il-valur jibqax stabbli.

Erġa’ għamel l-osservazzjoni kontra tieni port tad-destinazzjoni jew tieni server u qabbel mill-ġdid. Jekk il-port estern jinbidel skont id-destinazzjoni, il-mapping jiddependi mill-indirizz u mill-port. Jekk jibqa’ l-istess, in-netwerk jagħtik mapping wieħed u l-iskoperta għandha ċans.

Għodod ibbażati fuq STUN jirrappurtaw l-istess klassifikazzjoni f’pass wieħed, u jistgħu jintużaw meta n-netwerk jippermetti UDP ħiereġ lejn server STUN pubbliku. Meta ma jippermettix, il-metodu tal-qabda hawn fuq għadu jaħdem u ma jitlob xejn ħlief host li diġà tikkontrolla.

Agħżel tiswija li taqbel mal-falliment

Jekk il-karatteristika li tfalli hija bejn il-pari, it-tweġibiet appoġġjati huma relay, servizz ta’ laqgħa li jistgħu jilħqu ż-żewġ pari, jew topoloġija differenti. TURN jeżisti eżattament għal dan, u prodott li jġib ir-relay tiegħu stess qed jgħidlek li jistenna li xi netwerks ikunu ostili.

Jekk il-karatteristika li tfalli hija mina ordinarja, l-imġiba tal-mapping mhijiex il-problema tiegħek u xejn minn dan ta’ fuq ma japplika. Iċċekkja li l-klijent qed jibgħat tassew, li s-server jara l-pakkett, u li t-tweġiba terġa’ lura. Dik is-sekwenza hija tliet osservazzjonijiet u ma titlobx li tkun taf xejn dwar il-kategorija NAT tar-router.

Dak li ma jaħdimx huwa li xxerred bidliet tal-port lokali sakemm xi ħaġa tikkonnettja. Li tbiddel il-port tas-sors tal-klijent ma jbiddilx kif in-netwerk jalloka l-mappings. Suċċess każwali fil-ħames attentat huwa pożittiv falz, u se jiġi kwotat bħala tiswija għal xhur.

Irreġistra l-arkitettura, mhux id-deċiżjoni

Nota utli tgħid liema protokoll, f’liema direzzjoni tibda s-sessjoni, jekk hemmx relay fit-triq, u x’ġie osservat fuq il-wajer. “NAT simmetriku, ma jaħdimx” mhijiex użabbli, għax hija fl-istess ħin żbaljata dwar il-mina u mhux informattiva dwar it-triq tal-pari.

Inkludi l-istabbiltà tal-port imkejla u l-imġiba tal-iffiltrar jekk ippruvajthom. Dawn iż-żewġ fatti jippermettu lil xi ħadd ieħor jipprevedi jekk karatteristika ġdida taħdimx fuq dak in-netwerk mingħajr ma jtenni l-investigazzjoni kollha. Huma wkoll jixjieħu aħjar minn kategorija tal-fornitur li tfisser xi ħaġa kemmxejn differenti fuq kull paġna tal-għajnuna.

Fl-aħħar, żomm it-terminoloġija tal-RFC 4787 fil-qrib meta tikteb dan. L-użu tat-termini preċiżi jiswa sentenza waħda u jżomm lill-qarrej li jmiss milli jtenni l-istess dijanjosi żbaljata, u dan huwa l-iskop kollu tal-kitba tan-nota.