VPN wara NAT li ma tistax tikkonfigura: x'għadu jaħdem

Kull punt tat-tarf ta' tunnel jeħtieġ indirizz u port li l-parti l-oħra tista' tilħaq, u router li ma tamministrax huwa r-raġuni tas-soltu għaliex dan ir-rekwiżit ifalli. Il-parti interessanti mhix li jeżistu tricks, imma li kull waħda tiddependi fuq proprjetà ta' tabella tal-mapping li ma tarax mill-klijent. Tnejn minn dawk il-proprjetajiet jiddeċiedu kważi kollox: kif tinħoloq mapping, u jekk taċċettax pakketti minn indirizz li l-parti ta' ġewwa qatt ma kkuntattjat. Issortja l-ambjent skont dawk il-proprjetajiet u s-soluzzjonijiet alternattivi ma jibqgħux folklor.

It-tabella tal-mapping tiddeċiedi kollox

It-traduzzjoni tal-indirizzi tan-netwerk iżżomm tabella li fiha indirizz u port interni jkunu rreġistrati kontra indirizz u port pubbliċi. Tweġibiet li jaqblu ma' rekord jiġu tradotti lura, u pakkett li jasal minn barra mingħajr rekord li jaqbel m'għandu l-ebda destinazzjoni xejn. Dan l-imġiba waħda tispjega għaliex semmiegħa wara r-router ma tistax tinkiseb mill-internet. Tispjega wkoll għaliex l-ewwel pakkett f'kull direzzjoni jrid joħroġ minn ġewwa.

Ħares lejn it-tabella min-naħa tar-router u s-soluzzjonijiet alternattivi jsiru ovvji: jew xi ħaġa toħloq rekord permanenti, jew toħloq wieħed temporanju u żżommu frisk, jew it-traffiku qatt ma jieħu dak il-passaġġ. Il-bqija ta' dan l-artiklu huma dawk it-tliet każijiet bl-ordni. Xejn hawn ma jiddependi fuq karatteristika tal-fornitur lil hinn minn dak li tirreġistra t-tabella.

X'tista' tagħmel u x'ma tistax tagħmel is-servizz tal-laqgħa

UDP hole punching juża r-rekord tal-ħruġ bħala fetħa temporanja minflok jegħleb il-filter. Iż-żewġ piers jikkuntattjaw servizz tal-laqgħa, li jitgħallem kull punt tat-tarf pubbliku u jirrapporta lill-parti l-oħra l-punt tagħha lura. Imbagħad it-tnejn jibagħtu lejn xulxin, u kull pakkett tal-ħruġ joħloq jew iġedded ir-rekord li jħalli t-tweġiba tidħol. L-ordni hija dik li tagħmilha taħdem, u l-ordni hija wkoll dik li tagħmilha fraġli: pier li jibgħat qabel ma l-parti l-oħra tkun ħolqot ir-rekord tagħha sempliċement jiġi skartat, filwaqt li tentattiv mill-ġdid mument wara jirnexxi. Is-servizz innifsu ma jġorr l-ebda traffiku VPN, għalhekk l-unika lieva tiegħu hija l-ħin li jikkoordina.

L-imġiba tal-mapping tiddeċiedi l-bqija, u RFC 4787 isemmi tliet forom: indipendenti mill-punt tat-tarf, dipendenti fuq l-indirizz, u dipendenti fuq l-indirizz u l-port. Fl-aħħar waħda, il-port li pier irid jimmira lejh jinbidel ma' kull destinazzjoni, għalhekk it-tbassir ma jibqax affidabbli. Hemmhekk it-teknika tiltaqa' mal-ġewwa tagħha, għax NAT tal-livell tal-operatur u firewall korporattiv strett it-tnejn ineħħu l-prevedibbiltà li l-iskema teħtieġ, u l-ebda ammont ta' tentattivi mill-ġdid ma jġibha lura.

Keepalives, restarts u l-punt tat-tarf li jiċċaqlaq

Mogħdija mtaqqba hija fluss u mhux semmiegħa, għalhekk kull ma jiġri fuqha jrid jiflaħ għall-bidla. Trid iżżomm il-mapping ħaj b'traffiku perjodiku, tinnota meta l-punt tat-tarf pubbliku jiċċaqlaq, u terġa' tistabbilixxi wara restart tar-router jew meta l-indirizz jiġi assenjat mill-ġdid. Il-prodotti mesh VPN iqiegħdu dik il-loġika fil-pjan ta' kontroll tagħhom, filwaqt li server sempliċi jħalliha f'idejk. Keepalives jgħinu biss sakemm jibqa' ħaj l-istess mapping, u jiswew batterija fuq klijent mobbli, għalhekk intervall aggressiv mhuwiex b'xejn.

Laptop li jorqod siegħa normalment jerġa' lura fuq punt tat-tarf pubbliku differenti. Kull ma jerġa' jistabbilixxi l-passaġġ irid jaħdem mill-ġdid minn ġewwa, u dan iġib l-istess rekwiżit lura fuq il-klijent.

Tliet modi madwar forwarding nieqes

L-ewwel mod jitlob lir-router joħloq ir-rekord hu stess, permezz ta' UPnP IGD, NAT-PMP jew PCP, meta l-karatteristika teżisti u tkun mixgħula. It-tieni jgħaddi t-traffiku lil relay b'indirizz pubbliku, li dejjem jaħdem u dejjem jiswa bandwidth flimkien ma' fruntiera ta' fiduċja differenti. It-tielet jaqleb id-direzzjoni: il-host intern jiftaħ tunnel tal-ħruġ lejn server pubbliku u kull ħaġa oħra tirrikeb ġo fih.

[Peer]
PublicKey = 6yGj3kQ2wVb8sTn1pLx4dRc7hZa9mKf2uYe5oNq0iXw=
Endpoint = relay.corp.internal:51820
PersistentKeepalive = 25
AllowedIPs = 10.44.0.0/24

Punt tat-tarf ta' relay jagħmel dak il-bdil viżibbli fil-konfigurazzjoni tal-klijent, fejn il-punt tat-tarf huwa relay u mhux l-indirizz tal-pier stess. Keepalive persistenti jżomm il-mapping sħun, u l-prefissi permessi jiddeċiedu x'jista' jibgħat il-klijent minnhom. Tunnel maqlub mill-host intern hija l-istess idea b'proprjetarju differenti, u m'għandha bżonn l-ebda bidla fin-NAT. Kull waħda mit-tlieta tneħħi r-rekwiżit tad-dħul mingħajr ma tegħleb firewall li jimblokka traffiku mhux mitlub b'diżinn, għax it-traffiku xorta jibda minn ġewwa.

Qabbel is-soluzzjoni ma' min għandu r-router

Jekk tamministra r-router, forwarding UDP statiku huwa aktar faċli biex jiġi awditjat minn kwalunkwe skema ta' tqabbid u jfalli b'modi li tarahom. Jekk le, sib jekk il-fornitur joffrix relay jew pjan ta' kontroll ospitat, u jekk il-politika tippermettix l-użu tiegħu. Jekk xejn mhu disponibbli, l-għażliet li jifdal huma tunnel maqlub jew aċċettazzjoni li l-punt tat-tarf mhuwiex jintlaħaq minn barra. Li tirreġistra liema użajt huwa aktar importanti milli jidher, għax l-għażliet ivarjaw f'min jista' josserva t-traffiku u x'jiġri meta terz iċaqlaq xi ħaġa.

Innota jekk il-passaġġ li spiċċajt bih kienx dirett jew permezz ta' relay, għax dik il-fatt wieħed tbassar kemm il-latency kif ukoll l-imġiba tal-falliment. RFC 4787 jibqa' r-referenza għall-imġiba tal-mapping taħt dan kollu, u li taqra l-kapitolu tal-mapping tiegħu huwa aktar mgħaġġel milli tittestja tliet soluzzjonijiet wieħed wara l-ieħor. It-tabella mhijiex interessata liema għażla għażilt; hija tirreġistra biss x'jista' jagħmel il-pakkett li jmiss.