घरायुक्त VPN सर्भरका लागि पोर्ट ट्रिगरिङ बनाम पोर्ट फर्वार्डिङ
ट्रिगरिङले बाहिर जाने ट्राफिकपछि म्यापिङ खोल्छ; फर्वार्डिङले पोर्ट स्थायी रूपमा म्याप गर्छ। घरायुक्त VPN सर्भरलाई दोस्रो चाहिन्छ, वास्तविक श्रोतामा सीमित।
अधिकांश घरायुक्त राउटरमा पोर्ट फर्वार्डिङ र पोर्ट ट्रिगरिङ एउटै मेनुमा हुन्छन्, त्यसैले तिनलाई एउटै काम गर्ने दुई तरिका मानिन्छ। फर्वार्डिङ स्थिर नियम हो: WAN पोर्टमा आउने इनबाउन्ड जडान निश्चित भित्री ठेगाना र पोर्टमा अनुवाद हुन्छ, अरू केही भइरहेको होस् वा नहोस्। ट्रिगरिङ सशर्त छ: राउटरले बाहिर जाने ट्राफिक हेर्छ र मिल्ने जडान बाहिर गएपछि मात्रै इनबाउन्ड म्यापिङ खोल्छ। VPN सर्भर अरू कोही पहिले जोडिने प्रतीक्षा गर्छ, त्यसैले त्यही सर्त नै त्यो कहिल्यै पूरा गर्न नसक्ने एउटै कुरा हो।
फरक जीवनचक्र भएका दुई नियम
IPv4 NAT ले अवस्था राख्छ। भित्री होस्टले प्याकेट बाहिर पठाउँदा राउटरले म्यापिङ बनाउँछ, जसले जवाफहरूलाई फर्कने बाटो भेट्न दिन्छ; कुनै म्यापिङसँग नमिल्ने इनबाउन्ड प्याकेट फ्याँकिन्छ, र यही व्यवहारले अद्यावधिक नगरिएको डेस्कटपलाई इन्टरनेटबाहिर राख्छ। फर्वार्डिङ हातले थपिएको स्थायी अनुवाद प्रविष्टि हो। ट्रिगरिङ ट्राफिक ढाँचाले पहरा दिएको अस्थायी प्वाल हो।
व्यावहारिक फरक समयको हो। फर्वार्डिङ सुरक्षित गरेको क्षणदेखि कसैले हटाउँदासम्म रहन्छ। ट्रिगर भएको म्यापिङ ट्रिगर चलेपछि रहन्छ र निष्क्रियता टाइमरमा बन्द हुन्छ, उपभोक्ता हार्डवेयरमा मिनेटमा नापिन्छ, वा रिबुटमा तुरुन्तै।
अमूर्त रूपमा कुनै पनि बढी सुरक्षित छैन। फर्वार्डिङ एउटा पोर्ट लगातार खुला राख्छ; ट्रिगरले त्यो निश्चित बाहिर जाने ट्राफिकपछि मात्र खोल्छ। अपरिचितबाट पहिलो प्याकेट स्वीकार्नुपर्ने सेवाका लागि दुईमध्ये एउटा मात्र कामसँग मिल्छ।
ट्रिगरिङले सर्भर किन प्रकाशित गर्दैन
VPN सर्भर बनावटैले निष्क्रिय हुन्छ। सामुन्नेको पक्ष, क्याफेको ल्यापटप होस् वा मोबाइल डेटामा फोन, पहिलो प्याकेट पठाउँछ, र राउटरसँग त्यसका लागि कुनै म्यापिङ हुँदैन। भित्रबाट कसैले ट्रिगर पोर्टमा ट्राफिक सुरु गरेन, त्यसैले नियम कहिल्यै चल्दैन र ह्यान्डसेक सुरु हुनुअघि नै जडान मर्छ।
ट्रिगरिङ काम गरेजस्तो देखिने ठाउँमा ट्रिगर पोर्टमा ट्राफिक अरू केहीले बनाइरहेको हुन्छ: LAN मा क्लाइन्ट, मनिटरिङ प्रोब, वा सर्भरकै बाहिर जाने जाँच। त्यसपछि म्यापिङ त्यो एउटा होस्टका लागि खुल्छ र ट्राफिक रोकिएपछि बन्द हुन्छ, त्यसैले अर्को बाह्य पक्ष फेरि असफल हुन्छ, पहिलो सफलता लगमा प्रमाणजस्तै बसिरहन्छ।
ट्रिगरिङ सामान्यतया एक-होस्ट पनि हुन्छ। धेरै कार्यान्वयनले एकै पटक एउटा मात्र भित्री उपकरणलाई म्यापिङ राख्न दिन्छन्, जो धेरै पक्षलाई जवाफ दिनुपर्ने सर्भरका लागि पूर्ण गलत हो। यो सुविधा बाहिर नियन्त्रण जडान खोल्ने र दोस्रो पोर्टमा इनबाउन्ड डेटा अपेक्षा गर्ने एपका लागि बनाइएको थियो, र अझै त्यही आकारसँग मिल्छ।
फर्वार्डिङले वास्तवमा के म्याप गर्छ
फर्वार्डिङ एउटा अनुवाद प्रविष्टि हो: WAN पोर्ट र प्रोटोकलदेखि भित्री ठेगाना र पोर्टसम्म। यसलाई अर्को छेउमा पहिले नै चलिरहेको श्रोता चाहिन्छ, र भित्री ठेगाना ठाउँमै रहनु पर्छ। अर्को मेसिनमा सर्ने DHCP लिजले हरेक टनेल चुपचाप गलत होस्टमा पठाउँछ, त्यसैले नियमअघि आरक्षण बनाउनुहोस्।
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
प्रोटोकल फारमले संकेत गरेभन्दा बढी महत्त्वपूर्ण छ। UDP माथिको OpenVPN लाई UDP फर्वार्डिङ चाहिन्छ, WireGuard लाई UDP चाहिन्छ, र IPsec डेटा ESP को रूपमा, IP प्रोटोकल 50 आउँछ, जससँग पोर्ट नै छैन। केवल TCP वा UDP स्वीकार्ने फर्वार्डिङ फारमले त्यो व्यक्त गर्न सक्दैन, त्यसैले IPsec लाई पोर्ट नियमको सट्टा passthrough वा स्थिर एक-देखि-एक म्यापिङ चाहिन्छ।
तपाईंको राउटरमाथिको तह
फर्वार्डिङले तपाईंको आफ्नै अनुवाद मात्र नियन्त्रण गर्छ। WAN ठेगाना तपाईंको नभए, जो वाहक-स्तरीय NAT पछाडिको अवस्था हो जहाँ ग्राहकहरूले RFC 6598 मा वर्णन गरिएअनुसार 100.64.0.0/10 बाँड्छन्, इनबाउन्ड जडान कहिल्यै तपाईंको राउटरसम्म पुग्दैन किनकि प्रदायकले पहिले अनुवाद गरेको हुन्छ। तपाईंको उपकरणको कुनै नियमले त्यो क्रम सुधार्न सक्दैन।
दोहोरो NAT सानो रूपमा त्यही समस्या हो। तपाईंको राउटरले ISP राउटरतिर फर्वार्ड गर्छ, जससँग मिल्ने नियम छैन र त्यसले प्याकेट फ्याँक्छ। कि त बाहिरी उपकरणमा नियम थप्नुहोस्, कि त बाहिरी उपकरणलाई ब्रिज मोडमा राख्नुहोस् र तपाईंको उपकरणले सार्वजनिक ठेगाना राखोस्।
त्यसैले परीक्षण बाहिरबाट आउनुपर्छ। सार्वजनिक ठेगानाबाट त्यही LAN बाट गरिने परीक्षण हेयरपिन NAT समर्थनमा निर्भर हुन्छ र नियमसँग सम्बन्ध नभएका कारणले उत्तीर्ण वा असफल हुन सक्छ; मोबाइल डेटामा फोन, वा अर्को नेटवर्कको साथी, बढी सफा जाँच हो।
नियम सीमित गर्नुहोस्, त्यसपछि दुवै आधा जाँच्नुहोस्
एउटा पोर्ट एउटा ठेगानामा फर्वार्ड गर्नुहोस्। पहिलो प्रयास असफल भएर थपिएको दायरा, यसरी नै व्यवस्थापन इन्टरफेसहरू इन्टरनेटमा पुग्छन्, र VPN श्रोतालाई छेउमा राउटरको एडमिन पृष्ठ प्रकाशित गर्नु आवश्यक छैन।
त्यो श्रोतालाई पहिले नै जोगाएका सबै कुरा राख्नुहोस्: प्रमाणपत्र वा कुञ्जी पहिचान, होस्ट फायरवाल, हालका प्याकेज संस्करण। फर्वार्डिङले प्याकेट भित्र आउन दिन्छ; प्रमाणीकरणले प्याकेट टनेल बन्ने वा नबन्ने निर्णय गर्छ, र केही बिग्रिएमा यी दुई अलग असफलता हुन्।
जाँचका दुई आधा छन्। ह्यान्डसेक बाह्य नेटवर्कबाट पूरा हुनुपर्छ, त्यसपछि सर्भरपछाडिको निजी स्रोतले टनेलबाट जवाफ दिनुपर्छ। फर्वार्डिङले टनेल जडान भित्र आउन दिन्छ, त्यसभन्दा बढी केही होइन; 10.8.0.0/24 का लागि राउटिङ र अधिकार अर्को स्क्रिनको अर्को सेटिङ हो।
तीन प्रश्नले निर्णय गर्नुहोस्
तीन प्रश्नले कुनै पनि तुलना तालिकाभन्दा छिटो छनोट टुंग्याउँछन्:
- बाहिरबाट केही पहिलो प्याकेटका रूपमा जोडिन्छ? त्यसो भए फर्वार्डिङ वा रिले प्रयोग गर्नुहोस्। कहिल्यै नहुने बाहिर जाने ट्राफिकबिना ट्रिगरिङ खुल्न सक्दैन।
- प्वाल निष्क्रियता समयभन्दा लामो टिक्नुपर्छ? त्यसो भए फर्वार्डिङ प्रयोग गर्नुहोस्, किनकि ट्रिगर भएको म्यापिङ आफ्नै तालिकाअनुसार बन्द हुन्छ।
- WAN ठेगाना प्रकाशित गर्न तपाईंको हो? नभए, कुनै पनि नियम सम्पादन गर्नुअघि माथिल्लो तह सुधार्नुहोस्।
तीनैको उत्तर होइन भए, जो आफैं व्यावसायिक प्रदायकलाई डायल गर्ने ल्यापटपको अवस्था हो, दुईमध्ये कुनै नियम आवश्यक छैन। NAT पछाडिको क्लाइन्ट काम गर्छ किनकि त्यसले आफैं अवस्था-धारक म्यापिङ बनाउँछ, र यसले मध्यरातमा पोर्ट फर्वार्डिङको पृष्ठ पढ्ने अधिकांश मानिसलाई समेट्छ।