Liema porti VPN għandhom jinfetħu fuq firewall: protokoll b'protokoll

Żewġ regoli separati jiddeċiedu jekk tunnel VPN jgħaddix minn firewall: il-port li jċempel il-klijent u l-protokoll li jġorr it-tagħbija. Iftaħ biss l-ewwel waħda u t-tunnel jiġi awtentikat, imbagħad ma jiċċaqlaq l-ebda data. Il-minimu huwa port TCP wieħed flimkien ma' GRE għal PPTP, żewġ porti UDP flimkien ma' ESP għal L2TP/IPsec u IKEv2, u port wieħed għal SSTP, OpenVPN u WireGuard. Id-direzzjoni, it-traċċar tal-istat u NAT jiddeċiedu l-bqija.

Ibda mill-port li jċempel il-klijent

Kull familja għandha punt tad-dħul li l-klijent jikkuntattja l-ewwel, u dak il-punt tad-dħul huwa dak li r-regola tal-permess tiegħek trid issemmi. Il-klijenti PPTP jikkonnettjaw ma' TCP 1723. L2TP/IPsec jibda IKE fuq UDP 500 u jgħaddi għal UDP 4500 meta jintuża l-qsim ta' NAT, filwaqt li l-qafas L2TP innifsu jinsab fuq UDP 1701 ġewwa t-tunnel. SSTP jgeżwer is-sessjoni fi TLS fuq TCP 443, IKEv2 jinnegozja fuq UDP 500 u 4500, OpenVPN b'mod awtomatiku juża UDP 1194 iżda spiss jiġi mċaqlaq għal TCP 443, u WireGuard jisma' fuq UDP 51820.

Qis dawn in-numri bħala valuri awtomatiċi u mhux bħala proprjetajiet fissi. Interface WireGuard juża kwalunkwe port tas-smigħ li tiddikjara l-konfigurazzjoni tiegħu, u server OpenVPN jista' joqgħod fuq kwalunkwe port li għażel l-amministratur. Aqra l-konfigurazzjoni tas-server qabel ma tikteb ir-regola, għax firewall miftuħ għal 1194 ma jagħmel xejn għal server li tċaqlaq għal 443.

It-tielet kolonna hija fejn il-biċċa l-kbira tal-biljetti tal-bidla jmorru ħażin. Ir-regola teżisti, iżda tindika lejn destinazzjoni ħażina, direzzjoni ħażina jew trasport ħażin.

GRE u ESP huma numri tal-protokoll, mhux porti

GRE u ESP m'għandhom l-ebda port, għalhekk formola ta' firewall li taċċetta biss numri tal-port ma tistax tesprimihom. GRE huwa protokoll IP 47 u ESP huwa protokoll IP 50, it-tnejn jitqabblu permezz tal-qasam tal-protokoll fl-intestatura IP. Regola miktuba bħala port TCP 47 ma taqbel ma' xejn, u hekk politika PPTP tidher korretta u xorta tħoll kull pakkett wara l-ħsieb tal-idejn.

Ir-routery tad-dar jaħbu dan wara kaxxa tal-ikkaratterizza tal-qsim li tinstalla r-regola tal-protokoll u, għal GRE, l-għajnuna NAT meħtieġa biex tippjana l-fluss. Fuq firewall vera inti żżid il-protokoll waħdek: ippermetti protokoll IP 47 lejn is-server PPTP, ippermetti protokoll IP 50 lejn il-gateway IPsec. Fejn il-pjattaforma ma toffrix qasam tal-protokoll, l-inkapsulament huwa l-ħarġa, għalhekk IKEv2 jista' jaqa' lura għal UDP 4500 u għalhekk OpenVPN u WireGuard qatt ma jsibu din il-problema.

Iċċekkja ma' xiex tassew taqbel ir-regola qabel ma tagħti l-ħtija lill-klijent. Kontatur tal-pakketti li jibqa' fuq iż-żero fuq il-gateway jgħid li r-regola qatt ma nqabdet, u l-ebda ammont ta' installazzjoni mill-ġdid fuq in-naħa tal-klijent ma jbiddel dan.

Id-direzzjoni, l-istat u NAT ibiddlu t-tweġiba

Klijent li jċempel 'il barra u gateway li jisma' 'l ġewwa huma rekwiżiti differenti, u l-istess lista tal-porti tista' tkun tajba f'direzzjoni u ħażina fl-oħra. Firewall bl-istat isegwi l-fluss UDP fuq 500 u 4500 u jħalli t-tweġibiet lura mingħajr it-tieni regola. ESP u GRE ma jġorrux porti, għalhekk apparat NAT m'għandux ma' xiex jaqbad u jeħtieġ għajnuna jew inkapsulament biex isegwi s-sessjoni.

Il-qsim ta' NAT huwa l-parti li tintilef. IKEv2 jibda fuq UDP 500, jiskopri apparat NAT u jkompli fuq UDP 4500, għalhekk politika li tippermetti biss 500 tagħti tunnel li jistabbilixxi u mbagħad jiskot. L2TP/IPsec jagħmel l-istess mossa. Jekk il-qabda tiegħek turi l-ewwel skambju iżda mhux traffiku kontinwu, fittex regola li tieqaf f'500.

Irreġistra d-direzzjoni ma' kull regola. «Ippermetti UDP 4500» ma jfisser xejn sakemm tgħid minn fejn għal fejn, u regola li hija tajba għal klijent li jivvjaġġa normalment hija ħażina għal pari sit għal sit.

Iċċekkja kull mogħdija b'qabda

Ħaddem il-qabda fuq il-gateway, mhux fuq il-klijent: klijent jirreġistra biss dak li wasal. Dawn il-filtri jkopru l-familji ta' fuq u juru liema stadju jonqos:

sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50

Aqra l-output bħala sekwenza. Meta n-negozjar jidher iżda l-protokoll tat-tagħbija le, it-twaqqigħ iseħħ x'imkien bejn il-klijent u l-gateway. Meta jidhru t-tnejn u l-paġna xorta tfalli, il-firewall m'għadux is-suspettat; ħares lejn ir-routing, DNS jew il-pool tal-indirizzi mogħti lill-klijent.

Fuq magna mingħajr tcpdump l-istess provi jiġu mill-kontaturi tal-interface u tar-regoli. Bytes jidħlu iżda ma joħorġux fuq l-interface tat-tunnel — dan jindika l-mogħdija lura u mhux ir-regola tal-permess inizjali.

Ħalli sett ta' regoli li tista' tiddefendi

SSTP fuq TCP 443 ma jistax jiġi distint minn HTTPS ordinarju għal kwalunkwe filtru bbażat fuq il-porti, u dan huwa l-punt meta netwerk jippermetti biss traffiku tal-web. Huwa għalhekk ukoll li r-regola tal-443 għandha ssemmi l-gateway bħala destinazzjoni minflok l-internet kollu. Ħassar regoli temporanji minn kullimkien għal kullimkien hekk kif it-tunnel jaħdem. Ikteb liema regola qablet, in-numru tal-protokoll fejn hemm, u d-direzzjoni, biex il-persuna li jmiss tibda mill-provi.

Gateway tal-cloud minn punt għal sit jagħmlu l-għażla viżibbli: il-profil imniżżel juża jew SSTP fuq 443 jew IKEv2 fuq 500 u 4500, u għandek tiftaħ biss dak li l-profil tassew jagħżel. PPTP mhuwiex jistħoqqlu l-eċċezzjoni GRE fuq netwerk modern, għax l-operaturi mobbli spiss iħollu l-protokoll 47 irrispettivament mill-firewall tiegħek. Qabel ma tagħlaq il-biljett, ikkonferma li r-regola taqbel mal-port fil-konfigurazzjoni tas-server, li l-qasam tal-protokoll huwa stabbilit fejn il-familja teħtieġu, u li d-destinazzjoni hija l-gateway u mhux kwalunkwe indirizz.