ਸਟੇਟਲੈੱਸ VPN ਐਜ ਫਾਇਰਵਾਲ 'ਤੇ DNS ਜਵਾਬ ਕਿਉਂ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ

ਟਨਲ ਚੱਲ ਰਿਹਾ ਹੈ, ਕਲਾਇੰਟ VPN ਹੋਸਟ ਤੱਕ ਪਹੁੰਚ ਸਕਦੇ ਹਨ, ਪਰ ਹੋਸਟ ਕੁਝ ਵੀ ਹੱਲ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਇਸ ਦੀਆਂ ਆਪਣੀਆਂ ਬਾਹਰ ਜਾਣ ਵਾਲੀਆਂ ਕਵੈਰੀਆਂ ਇੰਟਰਫੇਸ ਨੂੰ ਸਾਫ਼ ਛੱਡਦੀਆਂ ਹਨ, ਇਸ ਲਈ ਨੁਕਸ ਵਾਪਸੀ ਦੇ ਰਾਹ ਵਿੱਚ ਹੈ: ਉੱਪਰਲੇ ਐਜ 'ਤੇ, ਜੋ ਹੋਸਟ ਨੇ ਹੁਣੇ ਕੀ ਭੇਜਿਆ ਇਹ ਯਾਦ ਰੱਖੇ ਬਿਨਾਂ ਆਉਣ ਵਾਲਾ ਟਰੈਫਿਕ ਫਿਲਟਰ ਕਰਦਾ ਹੈ। ਟਨਲ ਪੋਰਟ ਦੀ ਆਗਿਆ ਦੇਣਾ ਉਸ ਅਦਲ-ਬਦਲ ਦਾ ਬਿਲਕੁਲ ਵਰਣਨ ਨਹੀਂ ਕਰਦਾ। DNS ਕਵੈਰੀ ਦਾ ਜਵਾਬ ਵੱਖਰਾ ਪ੍ਰਵਾਹ ਹੈ, ਅਤੇ ਜੇ ਐਜ ਸਟੇਟਲੈੱਸ ਹੈ, ਤਾਂ ਵਾਪਸ ਆਉਣ ਦੀ ਆਗਿਆ ਕਿਸੇ ਨੇ ਨਹੀਂ ਦਿੱਤੀ।

ਦੋਵੇਂ ਅਦਲ-ਬਦਲ ਇੱਕੋ ਅਦਲ-ਬਦਲ ਨਹੀਂ ਹਨ

ਟਿਊਪਲ ਲਿਖੋ ਅਤੇ ਗਲਤੀ ਸਪਸ਼ਟ ਹੋ ਜਾਂਦੀ ਹੈ। ਬੇਨਤੀ ਦਾ ਮੰਜ਼ਿਲ ਪੋਰਟ ਜਵਾਬ ਦਾ ਸਰੋਤ ਪੋਰਟ ਬਣ ਜਾਂਦਾ ਹੈ, ਜੋ ਪੋਰਟ 53 ਲਈ ਇਨਬਾਊਂਡ ਨਿਯਮ ਜੋੜਨ ਵੇਲੇ ਬਹੁਤਿਆਂ ਦੀ ਕਲਪਨਾ ਦੇ ਉਲਟ ਹੈ:

query:  203.0.113.10:53018 -> 198.51.100.53:53
reply:  198.51.100.53:53 -> 203.0.113.10:53018

ਮੰਜ਼ਿਲ ਪੋਰਟ 53 ਦੀ ਮੰਗ ਕਰਨ ਵਾਲਾ ਇਨਕਮਿੰਗ ਨਿਯਮ ਹੋਸਟ 'ਤੇ ਚੱਲ ਰਹੇ DNS ਸੁਣਨ ਵਾਲੇ ਨੂੰ ਸੰਬੋਧਿਤ ਟਰੈਫਿਕ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ, ਅਤੇ ਉਹ ਬਿਲਕੁਲ ਵੱਖਰੀ ਸੇਵਾ ਹੈ। ਉਹ ਪਤੇ ਦਸਤਾਵੇਜ਼ੀ ਉਦਾਹਰਨਾਂ ਹਨ, ਅਤੇ ਸਰੋਤ ਪੋਰਟ ਕਲਾਇੰਟ ਹਰ ਕਵੈਰੀ ਲਈ ਚੁਣਦਾ ਹੈ, ਇਸ ਲਈ ਇਹ ਅਜਿਹਾ ਮੁੱਲ ਨਹੀਂ ਜੋ ਨਿਯਮ ਵਿੱਚ ਕਾਪੀ ਕਰਕੇ ਕੰਮ ਜਾਰੀ ਰਹਿਣ ਦੀ ਉਮੀਦ ਕੀਤੀ ਜਾ ਸਕੇ।

ਸਟੇਟਲੈੱਸ ਐਜ ਬਨਾਮ ਸਟੇਟਫੁਲ ਹੋਸਟ ਫਾਇਰਵਾਲ

ਸਟੇਟਲੈੱਸ ਐਜ ਫਿਲਟਰ ਹਰ ਆਉਣ ਵਾਲੇ ਪੈਕਟ ਨੂੰ ਆਪਣੀ ਨਿਯਮ-ਸੂਚੀ ਨਾਲ ਤੁਲਨਾ ਕਰਕੇ ਮੁਲਾਂਕਣ ਕਰਦਾ ਹੈ, ਪਿੱਛੇ ਕੋਈ ਕਨੈਕਸ਼ਨ ਸਾਰਣੀ ਨਹੀਂ। ਸਫਲਤਾਪੂਰਵਕ ਬਾਹਰ ਗਈ ਕਵੈਰੀ ਆਪਣੇ ਆਉਣ ਵਾਲੇ ਜਵਾਬ ਲਈ ਕੋਈ ਆਗਿਆ ਨਹੀਂ ਬਣਾਉਂਦੀ, ਕਿਉਂਕਿ ਡਿਵਾਈਸ ਕੋਲ ਕੋਈ ਕਵੈਰੀ ਕਦੇ ਹੋਈ ਸੀ ਦਾ ਰਿਕਾਰਡ ਨਹੀਂ। ਸਟੇਟਫੁਲ ਹੋਸਟ ਫਾਇਰਵਾਲ ਇਸ ਦੇ ਉਲਟ ਹੈ: ਇਸ ਦੀ ਕਨੈਕਸ਼ਨ ਟਰੈਕਿੰਗ ਮਨਜ਼ੂਰ ਅਦਲ-ਬਦਲ ਦੇ ਵਾਪਸੀ ਟਰੈਫਿਕ ਨੂੰ ਪਛਾਣਦੀ ਹੈ ਅਤੇ ਜਵਾਬ ਲਈ ਨਿਯਮ ਤੋਂ ਬਿਨਾਂ ਲੰਘਣ ਦਿੰਦੀ ਹੈ। ਦੋਵੇਂ ਸੀਮਾਵਾਂ ਆਮ ਰਾਹ ਵਿੱਚ ਮੌਜੂਦ ਹਨ, ਅਤੇ ਦੋਵਾਂ ਨੂੰ ਇੱਛਤ ਪੈਕਟ ਦੀ ਆਗਿਆ ਦੇਣੀ ਚਾਹੀਦੀ ਹੈ।

ਤੁਲਨਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿਉਂਕਿ ਦੋਵੇਂ ਡਿਵਾਈਸ ਵੱਖਰੇ ਤਰੀਕੇ ਨਾਲ ਫੇਲ੍ਹ ਹੁੰਦੇ ਹਨ। ਜਵਾਬ ਤੋਂ ਇਨਕਾਰ ਕਰਨ ਵਾਲਾ ਸਟੇਟਫੁਲ ਫਾਇਰਵਾਲ ਡ੍ਰੌਪ ਦਰਜ ਕਰਦਾ ਹੈ; ਸਟੇਟਲੈੱਸ ਐਜ ਇਸ ਨੂੰ ਚੁੱਪਚਾਪ ਇਨਕਾਰ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਹੋਸਟ ਸਿਰਫ਼ ਸਮਾਂ-ਸੀਮਾ 'ਤੇ ਪਹੁੰਚ ਜਾਂਦਾ ਹੈ।

ਆਗਿਆ ਪੋਰਟ ਨੰਬਰ ਦੁਆਲੇ ਨਹੀਂ, ਪ੍ਰੋਟੋਕੋਲ ਦੁਆਲੇ ਬਣਾਓ

ਨਿਯਮ ਨੂੰ ਅਸਲ ਰਿਜ਼ੋਲਵਰ ਪਤਿਆਂ, ਮੰਜ਼ਿਲ ਹੋਸਟ ਅਤੇ ਉਤਪਾਦ ਵੱਲੋਂ ਸਮਰਥਿਤ ਪ੍ਰਾਪਤੀ-ਪੋਰਟ ਨੀਤੀ ਤੱਕ ਸੀਮਤ ਕਰੋ। DNS ਦਾ TCP ਰਾਹ ਵੀ ਯਾਦ ਰੱਖੋ, ਕਿਉਂਕਿ ਵੱਡਾ ਜਵਾਬ ਜਾਂ ਕਟੌਤੀ ਕਾਰਨ ਪਿੱਛੇ ਹਟਣਾ ਅਦਲ-ਬਦਲ ਨੂੰ TCP 'ਤੇ ਲੈ ਜਾਂਦਾ ਹੈ ਅਤੇ ਸਿਰਫ਼ UDP ਨਿਯਮ ਇਸ ਨੂੰ ਨਹੀਂ ਢੱਕੇਗਾ। ਜੇ ਐਜ ਨਿਸ਼ਚਿਤ ਪ੍ਰਵਾਹ ਲਈ ਸਟੇਟਫੁਲ ਜਾਂਚ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ, ਤਾਂ ਹੱਥ ਨਾਲ ਲਿਖੇ ਜਵਾਬ-ਨਿਯਮ ਦੀ ਥਾਂ ਇਸ ਨੂੰ ਤਰਜੀਹ ਦਿਓ, ਕਿਉਂਕਿ ਸਟੇਟਫੁਲ ਰਾਹ ਕਲਾਇੰਟ ਵੱਲੋਂ ਚੁਣੇ ਪੋਰਟਾਂ ਦੀ ਆਪਣੇ ਆਪ ਪੈਰਵੀ ਕਰਦਾ ਹੈ।

ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਰਾਹ ਵਿੱਚ ਕਿਹੜਾ ਉਤਪਾਦ ਅਸਲ ਵਿੱਚ ਟਰੈਫਿਕ ਫਿਲਟਰ ਕਰਦਾ ਹੈ। ਦਸਤਾਵੇਜ਼ੀ IPv4 ਐਜ ਘੇਰਾ IPv6 ਨੀਤੀ ਸਥਾਪਿਤ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਸੇਵਾ ਪ੍ਰਦਾਤਾ ਦਾ ਅੰਦਰੂਨੀ ਟਰੈਫਿਕ ਸ਼ਾਇਦ ਉਸੇ ਫਿਲਟਰ ਵਿੱਚੋਂ ਕਦੇ ਨਾ ਲੰਘੇ।

ਕੋਈ ਵੀ ਸਰੋਤ ਪੋਰਟ 53 ਮਨਜ਼ੂਰ ਕਰਨਾ ਹੱਲ ਕਿਉਂ ਨਹੀਂ

ਜੋ ਨਿਯਮ ਸਰੋਤ ਪੋਰਟ 53 ਹੋਣ ਦਾ ਦਾਅਵਾ ਕਰਨ ਵਾਲੀ ਹਰ ਚੀਜ਼ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ, ਉਹ ਭੇਜਣ ਵਾਲੇ ਵੱਲੋਂ ਹੈਡਰ ਖੇਤਰ ਵਿੱਚ ਲਿਖੀ ਗੱਲ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲਾ ਨਿਯਮ ਹੈ। ਪੋਰਟ ਨੰਬਰ ਭੇਜਣ ਵਾਲੇ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਨਹੀਂ ਕਰਦਾ ਅਤੇ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਪੇਲੋਡ ਵੈਧ ਜਵਾਬ ਹੈ, ਇਸ ਲਈ ਨਿਯਮ ਹੱਲ ਨੂੰ ਵਧੇਰੇ ਭਰੋਸੇਯੋਗ ਬਣਾਏ ਬਿਨਾਂ ਹੋਸਟ ਦੀ ਨੁਕਸਾਨ-ਸੰਭਾਵਨਾ ਵਧਾਉਂਦਾ ਹੈ। ਪਹੁੰਚ ਸੂਚੀ ਸਰਲ ਕਰਨ ਲਈ ਉਹਨਾਂ ਨੂੰ ਬੰਦ ਕਰਨ ਦੀ ਥਾਂ ਸਰੋਤ ਪਾਬੰਦੀਆਂ ਅਤੇ ਕਲਾਇੰਟ ਦੀਆਂ ਆਪਣੀਆਂ ਜਵਾਬ-ਜਾਂਚਾਂ, ਸਰੋਤ-ਪੋਰਟ ਬੇਤਰਤੀਬੀ ਸਮੇਤ, ਕਾਇਮ ਰੱਖੋ।

ਜੇ ਰਿਜ਼ੋਲਵਰ ਤੁਹਾਡੇ ਕੰਟਰੋਲ ਵਾਲੀ ਸੇਵਾ ਹੈ, ਤਾਂ ਇਸ ਦੇ ਪਤਿਆਂ ਤੱਕ ਸੀਮਤ ਕਰਨਾ ਕਾਫ਼ੀ ਹੈ। ਜੇ ਇਹ ਜਨਤਕ ਰਿਜ਼ੋਲਵਰ ਹੈ, ਤਾਂ ਤੁਹਾਡੇ ਵੱਲੋਂ ਮਨਜ਼ੂਰ ਪਤਿਆਂ ਤੱਕ ਸੀਮਤ ਕਰੋ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਨਿਯਮ ਦੀ ਟਿੱਪਣੀ ਵਿੱਚ ਲਿਖੋ।

ਸਹੀ ਸੀਮਾ 'ਤੇ, ਸਹੀ ਦਿਸ਼ਾ ਵਿੱਚ ਜਾਂਚੋ

ਉਸੇ ਕਵੈਰੀ ਲਈ ਹੋਸਟ 'ਤੇ ਅਤੇ ਐਜ 'ਤੇ ਕੈਪਚਰ ਕਰੋ, ਅਤੇ ਪੈਕਟ ਗਿਣਤੀ ਦੀ ਥਾਂ ਟਿਊਪਲ ਦੀ ਤੁਲਨਾ ਕਰੋ। ਦੋਵੇਂ ਪਾਸੇ ਦਿਖਣ ਵਾਲੀ ਪਰ ਹੋਸਟ ਪਾਸੇ ਜਵਾਬ ਨਾ ਦਿਖਣ ਵਾਲੀ ਕਵੈਰੀ ਇਨਬਾਊਂਡ ਫਿਲਟਰ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੀ ਹੈ; ਸਿਰਫ਼ ਹੋਸਟ ਪਾਸੇ ਦਿਖਣ ਵਾਲੀ ਕਵੈਰੀ ਰਾਊਟਿੰਗ ਜਾਂ ਰਿਜ਼ੋਲਵਰ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੀ ਹੈ। ਜੇ ਤੁਹਾਡੇ ਕੋਲ ਸਿਰਫ਼ UDP ਆਗਿਆ ਹੈ ਤਾਂ TCP ਕਵੈਰੀ ਨਾਲ ਦੁਹਰਾਓ, ਕਿਉਂਕਿ ਪਹਿਲੀ ਜਾਂਚ ਜੋ ਖਾਲੀ ਪਾੜਾ ਨਹੀਂ ਦੇਖ ਸਕਦੀ।

ਇਸ ਨੂੰ ਠੀਕ ਕਰਨਾ ਹੋਸਟ ਨੂੰ ਅਸਲ ਵਿੱਚ ਲੋੜੀਂਦਾ DNS ਅਦਲ-ਬਦਲ ਪੂਰਾ ਕਰਦਾ ਹੈ। ਇਹ ਹੋਸਟ ਨੂੰ ਜਨਤਕ ਰਿਜ਼ੋਲਵਰ ਨਹੀਂ ਬਣਾਉਂਦਾ, ਅੱਗੇ ਭੇਜੇ VPN ਪ੍ਰਵਾਹਾਂ ਨੂੰ ਆਗਿਆ ਨਹੀਂ ਦਿੰਦਾ, ਅਤੇ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ DNS ਹੀ ਕਿਸੇ ਅਸੰਬੰਧਿਤ ਟਨਲ ਸਮੱਸਿਆ ਦਾ ਕਾਰਨ ਸੀ।