Rekwiżiti tal-portijiet VPN: tliet linji li jinkitbu qabel it-tqabbil
Iddetermina liema mistoqsija dwar il-port tassew għandek: destinazzjoni ħierġa, pubblikazzjoni dieħla jew it-trasport tat-tunnel innifsu. Imbagħad staqsi lill-fornitur biss dwar dan.
Il-listi tal-portijiet għas-servizzi VPN jiġu kkupjati bejn paġni ta’ tqabbil mingħajr id-dettall li jiddeċiedi jekk humiex importanti: min jibda l-konnessjoni. Regola li tippermetti TCP 443 ħiereġ ma tgħid xejn dwar jekk host ieħor jistax jasal għal semmiegħ fuq il-magna tiegħek. Ikteb tliet rekwiżiti separati qabel ma tqabbel saħansitra pjan wieħed, u mmarka liema minnhom il-kompitu tiegħek tassew jeħtieġ. Ħafna mill-paraguni jiddegradaw f’mistoqsija waħda qasira ladarba dik il-folja teżisti.
Issepara r-rekwiżit qabel taqra kwalunkwe lista tal-portijiet
Tliet linji jkopru kważi kull każ: jilħaq destinazzjoni lil hinn mit-tunnel, tippubblika xi ħaġa biex oħrajn ikunu jistgħu jqabbdu ’l ġewwa, u ġġorr it-tunnel innifsu. Kull linja tfalli għal raġuni differenti, u politika ta’ fornitur li tissodisfa waħda tista’ tħalli t-tnejn l-oħra bla mittiefsa. Li tpoġġi l-kompitu fil-linja t-tajba jieħu ħames minuti u jiffranka argument wara.
| Line | Who starts it | What can block it | Question for the provider |
|---|---|---|---|
| Outbound destination | Your application | Egress filter on the exit node | Is this protocol and port allowed to that destination? |
| Inbound publishing | A remote peer | No mapping, no public address, short lifetime | Which protocol, which external port, and how long does the mapping last? |
| Tunnel transport | Your client to the gateway | The access network drops that protocol | Does the client offer a fallback the local network permits? |
Id-dikjarazzjonijiet tal-marketing ixerrdu t-tliet linji apposta. Permess P2P jiddeskrivi politika tad-destinazzjoni, indirizz iddedikat jiddeskrivi indirizz, u l-pretensjoni li m’hemm l-ebda restrizzjoni fuq il-portijiet normalment tfisser li l-pjan ma jelenkahomx. Xejn minn dawn il-frażijiet ma jwieġeb lill-oħrajn.
Agħżel fluss konkret wieħed u ikteb bħala sentenza: inizjatur, trasport, port, familja tal-indirizzi, direzzjoni. Klijent ta’ backup bil-lejl li jtella’ lejn host mill-bogħod huwa ħiereġ biss. Server tal-logħob fuq l-iskrivanija tiegħek li jingħaqdu miegħu ħbieb huwa dieħel. Li tħaddem it-tnejn minn tunnel wieħed ifisser li l-folja teħtieġ iż-żewġ linji, mhux kompromess bejniethom.
L-aċċess ħiereġ ifalli fuq il-politika tad-destinazzjoni, mhux fuq it-tunnel
It-traffiku ħiereġ minn gateway li tittraduċi joħloq stat. L-ewwel pakkett minn indirizz u port interni jibni entrata tat-traduzzjoni, u t-tweġibiet jaqblu magħha, li hija l-imġiba tal-immappjar deskritta fi RFC 3022. Dak il-mekkaniżmu huwa r-raġuni għaliex tab tal-browser normalment jaħdem mingħajr ebda talba għall-port.
Żewġ affarijiet għadhom jiksru dan. In-nodu tal-ħruġ jista’ jiffiltra destinazzjonijiet jew numri tal-port li jqis abbużabbli, u l-applikazzjoni tista’ tkun qed tisma’ fuq port li l-politika tal-ħruġ qatt ma stennew. Staqsi dwar il-par tad-destinazzjoni mhux dwar regoli dieħla, u stenna tweġibiet differenti għal TCP u UDP.
Kejjel qabel ma targumenta. Mexxi dawn fuq il-magna li se tkun wara t-tunnel, darba bit-tunnel mitfi u darba bit-tunnel mixgħul:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://example.com
L-istess ordnijiet, l-istess destinazzjoni, żewġ stati tat-tunnel, jagħtu lill-operatur tqabbil qabel u wara li jista’ jaġixxi fuqu. Issostitwixxi l-indirizz tad-dokumentazzjoni bl-host li tassew għandek bżonn; li jgħodd huwa li l-paragun jerġa’ jseħħ, mhux li xi numru jidher impressjonanti.
Il-pubblikazzjoni dieħla teħtieġ immappjar, indirizz u tul tal-ħajja
Xejn minn barra ma jista’ jibda konnessjoni mas-semmiegħ tiegħek sakemm xi ħaġa fuq in-naħa pubblika ma tkunx taf fejn tibgħatha. Riżerva statika tal-port miżmuma mill-operatur, immappjar mitlub mill-klijent permezz ta’ UPnP, NAT-PMP jew PCP, u indirizz pubbliku mmexxi huma tliet prodotti differenti bi tliet limiti differenti.
Staqsi ħames mistoqsijiet dwar kwalunkwe wieħed minnhom: liema protokoll, liema port estern, jekk il-port estern jistax ivarja minn dak lokali, liema familja tal-indirizzi jkopri, u kemm idum l-immappjar wara konnessjoni mill-ġdid. Riżerva marbuta ma’ sessjoni attiva tisparixxi meta dik is-sessjoni tintemm, x’jikteb il-paġna tal-pjan.
Ikkonferma l-ewwel in-nofs lokali, għax semmiegħ mejjet u triq dieħla mblukkata jidhru l-istess minn barra:
ss -lntup | grep -E ':(8080|51820)\b'
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
Meta t-talba lokali tirritorna 200 u talba minn netwerk li ma tikkontrollax xorta tispiċċa fi żmien skadut, il-vojt jinsab fuq in-naħa pubblika. Dak huwa l-mument li tgħid lill-operatur il-protokoll u l-port estern minflok ma tiddeskrivi l-applikazzjoni b’isimha.
It-trasport tat-tunnel innifsu hija mistoqsija separata
Il-portijiet tal-ġarrier huma l-iżgħar parti tal-problema u l-aktar faċli biex tfittex. Il-valuri prestabbiliti jvarjaw skont il-protokoll, u dak li l-klijent jista’ jinnegozja jgħodd aktar minn kwalunkwe deskrizzjoni tal-pjan.
| Client | Outer transport | Default port | When it helps |
|---|---|---|---|
| OpenVPN | UDP | 1194 | Default mode; needs outbound UDP to pass |
| OpenVPN | TCP | 443 | UDP is dropped and TCP 443 is not |
| WireGuard | UDP | 51820 | Short handshake; there is no TCP mode |
| IKEv2/IPsec | UDP | 500 and 4500 | Mobile clients; 4500 carries NAT traversal |
Netwerk li jarmi UDP ħiereġ se jaċċetta tunnel TCP 443 u jirrifjuta wieħed UDP, għalhekk mod ta’ rikors jappartjeni għall-folja tar-rekwiżiti. Li tbiddel il-ġarrier ma jċaqlaqx port tal-applikazzjoni ġewwa t-tunnel u ma tespandix politika tad-destinazzjoni; dawk jibqgħu fil-linji tagħhom.
Il-frammentazzjoni jistħoqqilha prova waħda waqt li tkun hemm, għax tunnel li jgħaqqad u mbagħad jieqaf fuq trasferimenti kbar normalment ikollu MTU żbaljata aktar milli port magħluq:
ping -M do -s 1400 203.0.113.10 ping -M do -s 1372 203.0.113.10
Fuq Windows l-istess prova hija ping -f -l 1400 203.0.113.10. Issettja l-MTU tat-tunnel taħt l-akbar daqs li jgħaddi, imbagħad erġa’ ttestja t-trasferiment li falla.
Ivverifika t-tliet linji qabel ma tħallas għal pjan
Qiegħed it-tliet linji fuq paġna waħda u imla kull ċellola b’riżultat imkejjel minflok b’wegħda. Dawn l-ordnijiet jipproduċu n-nofs lokali ta’ dik il-paġna f’madwar minuta:
ss -lntup | sort
nc -vz -w 3 203.0.113.10 443
python3 -m http.server 8080 --bind 0.0.0.0
curl -sS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:8080
ping -M do -s 1400 203.0.113.10
Aqra l-output bħala lista ta’ kontroll. Il-ħruġ jaħdem meta d-destinazzjoni twieġeb bit-tunnel mixgħul. Id-dħul jaħdem biss meta host barra n-netwerk tiegħek jasal għas-semmiegħ fuq il-port estern. Il-ġarrier jaħdem meta l-ħabi tal-idejn jitlesta fuq protokoll li n-netwerk tal-aċċess tiegħek jippermetti.
Żewġ drawwiet iżommu l-folja onesta. Innota d-data u l-verżjoni tal-klijent ħdejn kull riżultat, għax kemm il-politiki tal-fornituri kif ukoll il-valuri prestabbiliti tal-klijenti jiċċaqilqu. Imbagħad itlob l-aktar immappjar dejjaq li jservi l-fluss, għax talba biex tiftaħ kollox normalment taqla’ rifjut jew bejgħ addizzjonali minflok tweġiba teknika.