ਪੋਰਟ ਫਾਰਵਰਡ ਬਨਾਮ VPN ਪਹੁੰਚ: ਪੈਕਟ ਅਸਲ ਵਿੱਚ ਕਿੱਥੇ ਜਾਂਦਾ ਹੈ

ਦੋ ਡਿਜ਼ਾਈਨ, ਇੱਕ HTTPS ਐਪਲੀਕੇਸ਼ਨ, ਅਤੇ ਪੈਕਟ ਹਰ ਇੱਕ ਵਿੱਚ ਵੱਖਰਾ ਰਾਹ ਲੈਂਦਾ ਹੈ। ਪੋਰਟ ਫਾਰਵਰਡ ਬਦਲਦਾ ਹੈ ਕਿ ਪੈਕਟ ਕਿੱਥੇ ਪਹੁੰਚਾਉਣਾ ਹੈ ਅਤੇ ਬਾਕੀ ਨੂੰ ਅਛੂਤਾ ਛੱਡਦਾ ਹੈ। VPN ਪਹਿਲਾਂ ਉਹ ਪੈਕਟ ਦੂਜੇ ਪੈਕਟ ਦੇ ਅੰਦਰ ਲੈ ਜਾਂਦਾ ਹੈ, ਇਸ ਲਈ ਐਪਲੀਕੇਸ਼ਨ ਦਾ ਸਰੋਤਾ ਵੱਖਰਾ ਸਰੋਤ ਅਤੇ ਛੋਟਾ ਵੱਧ ਤੋਂ ਵੱਧ ਪੇਲੋਡ ਵੇਖਦਾ ਹੈ। ਜਿਸ ਇਨਕ੍ਰਿਪਸ਼ਨ ਬਾਰੇ ਲੋਕ ਬਹਿਸ ਕਰਦੇ ਹਨ ਉਹ ਦੋਵਾਂ ਹਾਲਤਾਂ ਵਿੱਚ ਮੌਜੂਦ ਹੈ, ਕਿਉਂਕਿ ਐਪਲੀਕੇਸ਼ਨ ਅਜੇ ਵੀ HTTPS ਹੈ; ਫ਼ਰਕ ਇਹ ਹੈ ਕਿ ਕੌਣ ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹ ਸਕਦਾ ਹੈ ਅਤੇ ਵਿਚਕਾਰਲਾ ਨੈੱਟਵਰਕ ਕੀ ਦੇਖ ਸਕਦਾ ਹੈ। ਇਹ ਫ਼ਰਕ ਬਹੁਤੇ ਵਿਹਾਰਕ ਸਵਾਲ ਹੱਲ ਕਰਦਾ ਹੈ।

DNAT ਨਿਯਮ ਮੰਜ਼ਿਲ ਨੂੰ ਦੁਬਾਰਾ ਲਿਖਦਾ ਹੈ ਅਤੇ ਉੱਥੇ ਹੀ ਰੁਕ ਜਾਂਦਾ ਹੈ

Linux ਗੇਟਵੇ 'ਤੇ ਸੇਵਾ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਦਾ ਮਤਲਬ nat ਟੇਬਲ ਦੀ PREROUTING ਚੇਨ ਵਿੱਚ ਨਿਯਮ, ਜਾਂ nftables ਵਿੱਚ ਉਸਦਾ ਬਰਾਬਰ। ਨਿਯਮ ਜਨਤਕ ਪਤੇ ਅਤੇ ਪੋਰਟ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ, ਫਿਰ ਮੰਜ਼ਿਲ ਨੂੰ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਨਿੱਜੀ ਪਤੇ 'ਤੇ ਦੁਬਾਰਾ ਲਿਖਦਾ ਹੈ। ਸਰੋਤ ਪਤਾ, ਸਰੋਤ ਪੋਰਟ ਅਤੇ ਪੇਲੋਡ ਅਛੂਤੇ ਰਹਿੰਦੇ ਹਨ, ਅਤੇ conntrack ਮੈਪਿੰਗ ਦਰਜ ਕਰਦਾ ਹੈ ਤਾਂ ਜੋ ਜਵਾਬ ਬਾਹਰ ਜਾਂਦੇ ਸਮੇਂ ਦੁਬਾਰਾ ਲਿਖੇ ਜਾਣ। ਇਹ ਵਿਵਹਾਰ RFC 3022 ਵਿੱਚ ਵਰਣਿਤ ਰਵਾਇਤੀ ਪਤਾ ਅਨੁਵਾਦ ਮਾਡਲ ਹੈ।

sudo iptables -t nat -A PREROUTING -d 203.0.113.10 -p tcp --dport 443 \
  -j DNAT --to-destination 10.20.30.40:443
sudo iptables -t nat -L PREROUTING -n -v
sudo conntrack -L -p tcp --dport 443

ਐਪਲੀਕੇਸ਼ਨ ਦਾ ਸਰੋਤਾ ਕਦੇ ਨਹੀਂ ਜਾਣਦਾ ਕਿ ਕਨੈਕਸ਼ਨ ਅਨੁਵਾਦ ਰਾਹੀਂ ਆਇਆ। ਇਹ ਗਾਹਕ ਦਾ ਅਸਲ ਸਰੋਤ ਪਤਾ ਵੇਖਦਾ ਹੈ, ਜੋ ਪਹੁੰਚ ਲੌਗ ਅਤੇ ਦਰ ਸੀਮਾਵਾਂ ਲਈ ਲਾਭਦਾਇਕ ਹੈ, ਅਤੇ ਨਿੱਜੀ ਪਤੇ 'ਤੇ ਜਵਾਬ ਦਿੰਦਾ ਹੈ ਕਿਉਂਕਿ conntrack ਮੈਪਿੰਗ ਨੂੰ ਉਲਟਦਾ ਹੈ। ਉਸ ਰਾਹ 'ਤੇ ਕੁਝ ਵੀ ਡੀਕ੍ਰਿਪਟ ਜਾਂ ਦੁਬਾਰਾ ਇਨਕ੍ਰਿਪਟ ਨਹੀਂ ਹੁੰਦਾ: TLS ਅਜੇ ਵੀ ਗਾਹਕ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਆਪਣੇ ਸਰਟੀਫਿਕੇਟ ਵਿਚਕਾਰ ਚੱਲਦਾ ਹੈ।

ਨਿਯਮ ਉਹ ਅਸਫਲਤਾ ਢੰਗ ਵੀ ਤੈਅ ਕਰਦਾ ਹੈ ਜੋ ਬਾਅਦ ਵਿੱਚ ਮਿਲਣਗੇ। ਜੇ ਗੇਟਵੇ ਫਾਰਵਰਡ ਕਰਦਾ ਹੈ ਪਰ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਹੋਸਟ ਕੋਲ ਗਾਹਕ ਵੱਲ ਵਾਪਸ ਜਾਣ ਦਾ ਕੋਈ ਰਾਹ ਨਹੀਂ, ਤਾਂ ਜਵਾਬ ਗਲਤ ਸਰੋਤ ਨਾਲ ਨਿਕਲਦੇ ਹਨ ਅਤੇ ਹੈਂਡਸ਼ੇਕ ਅਟਕ ਜਾਂਦਾ ਹੈ। ਜੇ ਦੂਜਾ ਨਿਯਮ ਪਹਿਲਾਂ ਮੇਲ ਖਾਂਦਾ ਹੈ, ਤਾਂ ਕ੍ਰਮ ਨਤੀਜਾ ਤੈਅ ਕਰਦਾ ਹੈ, ਅਤੇ iptables -t nat -L -n -v ਉਹ ਕਾਊਂਟਰ ਦਿਖਾਉਂਦਾ ਹੈ ਜੋ ਸਾਬਤ ਕਰਦੇ ਹਨ ਕਿ ਕਿਹੜੇ ਨਿਯਮ ਨੇ ਪੈਕਟ ਲਿਆ।

ਸੁਰੰਗ ਸਰੋਤੇ ਦੇ ਵੇਖਣ ਤੋਂ ਪਹਿਲਾਂ ਪੈਕਟ ਲਪੇਟਦੀ ਹੈ

VPN ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਬਿਲਕੁਲ ਪ੍ਰਕਾਸ਼ਿਤ ਨਹੀਂ ਕਰਦਾ। ਗਾਹਕ ਗੇਟਵੇ ਦੇ ਜਨਤਕ ਪਤੇ ਵੱਲ ਨਿਸ਼ਾਨਾ ਬਾਹਰੀ ਪੈਕਟ ਬਣਾਉਂਦਾ ਹੈ, ਅੰਦਰਲਾ ਪੈਕਟ ਉਸ ਵਿੱਚ ਇਨਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ, ਅਤੇ ਗੇਟਵੇ ਡੀਕ੍ਰਿਪਟ ਕਰਕੇ ਅੰਦਰਲੇ ਪੈਕਟ ਨੂੰ ਨਿੱਜੀ ਮੰਜ਼ਿਲ ਵੱਲ ਰੂਟ ਕਰਦਾ ਹੈ। WireGuard ਵਿੱਚ ਬਾਹਰੀ ਟਰਾਂਸਪੋਰਟ UDP ਹੈ, ਆਮ ਤੌਰ 'ਤੇ ਉੱਚੇ ਪੋਰਟ 'ਤੇ; OpenVPN TCP 443 'ਤੇ ਹੋਵੇ ਤਾਂ ਬਾਹਰੀ ਪੈਕਟ ਰਾਹ ਵੇਖਣ ਵਾਲੇ ਹਰ ਵਸਤੂ ਲਈ TLS ਵਰਗਾ ਦਿਸਦਾ ਹੈ।

ਸੁਰੰਗ ਦੇ ਅੰਦਰ ਅੰਦਰਲਾ ਪੈਕਟ ਨਿੱਜੀ ਪਤੇ ਰੱਖਦਾ ਹੈ: ਗਾਹਕ ਦਾ ਸੁਰੰਗ ਪਤਾ, ਮੰਨ ਲਓ 10.8.0.6, ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ 10.20.30.40 'ਤੇ। ਇਸ ਲਈ ਸਰੋਤਾ ਸੁਰੰਗ ਪੂਲ ਤੋਂ ਸਰੋਤ ਵੇਖਦਾ ਹੈ, ਅਤੇ ਹਰ ਗਾਹਕ ਉਸ ਗੇਟਵੇ ਨੂੰ ਅਗਲੀ ਛਾਲ ਵਜੋਂ ਸਾਂਝਾ ਕਰਦਾ ਹੈ। VPN ਪਿੱਛੇ ਪਹੁੰਚ ਲੌਗ ਅਕਸਰ ਵਰਤੋਂਕਾਰ ਦੀ ਥਾਂ ਗੇਟਵੇ ਦਿਖਾਉਂਦੇ ਹਨ, ਇਹੀ ਕਾਰਨ ਹੈ, ਜੇ ਗੇਟਵੇ ਮੂਲ ਸਰੋਤ ਸੰਭਾਲਦਾ ਨਾ ਹੋਵੇ।

ਲਪੇਟਣਾ ਹੈਡਰ ਥਾਂ ਖਰਚ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹੀ ਮਾਪਣਯੋਗ ਨਤੀਜੇ ਵਾਲਾ ਇੱਕੋ-ਇੱਕ ਤੰਤਰ-ਪੱਧਰੀ ਫ਼ਰਕ ਹੈ। ਬਾਹਰੀ IP ਹੈਡਰ ਅਤੇ UDP ਅਤੇ WireGuard ਦਾ ਆਪਣਾ ਹੈਡਰ ਰਾਹ ਦੇ MTU ਵਿੱਚੋਂ ਖਾਂਦੇ ਹਨ, ਇਸ ਲਈ ਵੱਡੇ ਪੈਕਟ ਵੰਡਣੇ ਪੈਂਦੇ ਹਨ ਜਾਂ ਅੰਦਰਲੇ TCP ਸਟੈਕ ਨੂੰ ਆਪਣਾ MSS ਸੀਮਤ ਕਰਨਾ ਪੈਂਦਾ ਹੈ। ਫਾਰਵਰਡ ਕੀਤੇ ਰਾਹ 'ਤੇ ਕੰਮ ਕਰਨ ਵਾਲਾ ਟ੍ਰਾਂਸਫਰ ਸੁਰੰਗ 'ਤੇ ਅਟਕ ਸਕਦਾ ਹੈ ਜਦੋਂ ਵਿਚਕਾਰਲਾ ਯੰਤਰ ਛੋਟੇ MTU ਦਾ ਸੰਕੇਤ ਦੇਣ ਵਾਲਾ ICMP ਸੁੱਟ ਦਿੰਦਾ ਹੈ।

ip route get 10.20.30.40
ping -M do -s 1400 10.20.30.40
sudo iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN \
  -j TCPMSS --clamp-mss-to-pmtu

ਖੁੱਲ੍ਹ ਪ੍ਰਵੇਸ਼ ਦੁਆਰ 'ਤੇ ਤੈਅ ਹੁੰਦੀ ਹੈ, ਸਾਈਫਰ ਨਾਲ ਨਹੀਂ

ਦੋਵੇਂ ਡਿਜ਼ਾਈਨ ਇੱਕੋ TLS ਸਰੋਤੇ 'ਤੇ ਖ਼ਤਮ ਹੁੰਦੇ ਹਨ, ਇਸ ਲਈ ਦੋਵਾਂ ਨੂੰ ਉਹੀ ਸਰਟੀਫਿਕੇਟ, ਉਹੀ ਪ੍ਰੋਟੋਕੋਲ ਸੰਸਕਰਣ ਅਤੇ ਉਹੀ ਐਪਲੀਕੇਸ਼ਨ ਲੌਗਇਨ ਵਿਰਾਸਤ ਵਿੱਚ ਮਿਲਦਾ ਹੈ। ਬਦਲਦਾ ਇਹ ਹੈ ਕਿ ਕਿਸਨੂੰ ਹੈਂਡਸ਼ੇਕ ਸ਼ੁਰੂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਹੈ। ਜਨਤਕ ਫਾਰਵਰਡ ਵਿੱਚ, 203.0.113.10:443 ਤੱਕ ਪਹੁੰਚਣ ਵਾਲਾ ਕੋਈ ਵੀ ਹੋਸਟ ਤੁਹਾਡੇ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਅਧਿਕਾਰਤਾ ਵੇਖੇ ਜਾਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ TCP ਹੈਂਡਸ਼ੇਕ ਅਤੇ TLS ClientHello ਪਾ ਲੈਂਦਾ ਹੈ। ਸਿਰਫ਼ ਸੁਰੰਗ ਰਾਹੀਂ ਪਹੁੰਚ ਵਿੱਚ, ਸਰੋਤੇ ਤੱਕ ਸਿਰਫ਼ ਉਹਨਾਂ ਪਤਿਆਂ ਤੋਂ ਪਹੁੰਚਿਆ ਜਾ ਸਕਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਨੂੰ ਗੇਟਵੇ ਸੁਰੰਗ ਵਿੱਚ ਰੂਟ ਕਰਦਾ ਹੈ, ਅਤੇ ਅਜਨਬੀ ਦਾ SYN ਗੇਟਵੇ ਨੀਤੀ 'ਤੇ ਮਰ ਜਾਂਦਾ ਹੈ।

ਇਹ ਫ਼ਰਕ ਪਹੁੰਚਯੋਗਤਾ ਬਾਰੇ ਹੈ, ਗੋਪਨੀਯਤਾ ਬਾਰੇ ਨਹੀਂ। ਫਾਰਵਰਡ ਕੀਤੀ HTTPS ਸੇਵਾ ਸਾਦਾ ਪਾਠ ਨਹੀਂ ਹੈ, ਅਤੇ VPN ਐਪਲੀਕੇਸ਼ਨ ਪ੍ਰਮਾਣੀਕਰਨ ਦੀ ਲੋੜ ਨਹੀਂ ਹਟਾਉਂਦਾ: ਸੁਰੰਗ ਵਿੱਚ ਦਾਖਲਾ ਦੱਸਦਾ ਹੈ ਕਿ ਕੋਈ ਯੰਤਰ ਇਸ ਨੈੱਟਵਰਕ ਵਿੱਚ ਪੈਕਟ ਭੇਜ ਸਕਦਾ ਹੈ ਜਾਂ ਨਹੀਂ, ਜਦੋਂ ਕਿ ਫਾਈਲ ਐਪਲੀਕੇਸ਼ਨ ਦੱਸਦੀ ਹੈ ਕਿ ਕੋਈ ਵਰਤੋਂਕਾਰ ਦਸਤਾਵੇਜ਼ ਪੜ੍ਹ ਸਕਦਾ ਹੈ ਜਾਂ ਨਹੀਂ। ਦੋਵਾਂ ਨੂੰ ਮਿਲਾ ਦੇਣਾ ਹੀ ਉਹ ਢੰਗ ਹੈ ਜਿਸ ਨਾਲ ਟੀਮਾਂ ਪੂਰੇ LAN ਦੇਣ ਵਾਲੇ VPN ਅਤੇ ਇੱਕ ਸਾਂਝੇ ਪਾਸਵਰਡ ਵਾਲੀ ਐਪਲੀਕੇਸ਼ਨ 'ਤੇ ਪਹੁੰਚਦੀਆਂ ਹਨ।

ਸਰੋਤੇ ਅਤੇ ਨੀਤੀ ਨੂੰ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਜਾਂਚੋ, ਕਿਉਂਕਿ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਤੁਹਾਡੇ ਅੰਦਾਜ਼ੇ ਤੋਂ ਵਿਸ਼ਾਲ ਹੋ ਸਕਦਾ ਹੈ:

sudo ss -ltnp 'sport = :443'
sudo nft list ruleset
openssl s_client -connect 203.0.113.10:443 -servername files.example.com </dev/null

ਜੇ ss ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਸਰੋਤਾ 0.0.0.0 ਨਾਲ ਬੱਝਾ ਹੈ, ਤਾਂ ਐਪਲੀਕੇਸ਼ਨ ਉੱਥੋਂ ਪਹੁੰਚਯੋਗ ਹੈ ਜਿੱਥੇ ਰੂਟਿੰਗ ਅਤੇ ਫਾਇਰਵਾਲ ਨੀਤੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ, ਅਤੇ ਫਾਰਵਰਡ ਅੰਦਰ ਆਉਣ ਦੇ ਢੰਗਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੀ ਹੈ। ਨਿੱਜੀ ਪਤੇ ਨਾਲ ਬੰਨ੍ਹਣਾ, ਜਾਂ ਫਾਇਰਵਾਲ ਵਿੱਚ ਸਰੋਤ ਰੇਂਜ ਸੀਮਤ ਕਰਨਾ, VPN ਚੁਣਨ ਤੋਂ ਵੱਖਰਾ ਫ਼ੈਸਲਾ ਹੈ, ਅਤੇ ਉਹੀ ਫ਼ੈਸਲਾ ਖੁੱਲ੍ਹ ਨੂੰ ਸੱਚਮੁੱਚ ਘਟਾਉਂਦਾ ਹੈ।

ਰਾਹ ਮਾਪੋ, ਲੇਬਲ ਨਹੀਂ

ਜਦੋਂ ਕੋਈ ਦਾਅਵਾ ਕਰਦਾ ਹੈ ਕਿ ਫਾਰਵਰਡ ਤੇਜ਼ ਹੈ, ਤਾਂ ਇਮਾਨਦਾਰ ਤੁਲਨਾ ਬਾਕੀ ਸਭ ਸਥਿਰ ਰੱਖਦੀ ਹੈ: ਉਹੀ ਗਾਹਕ, ਉਹੀ ਪਹੁੰਚ ਨੈੱਟਵਰਕ, ਉਹੀ ਫਾਈਲ, ਉਹੀ TLS ਸੰਰਚਨਾ, ਉਹੀ ਐਪਲੀਕੇਸ਼ਨ ਹੋਸਟ। ਹਰ ਰਾਹ 'ਤੇ ਟ੍ਰਾਂਸਫਰ ਦੋ ਵਾਰ ਚਲਾਓ ਅਤੇ ਕੁੱਲ ਸਮਾਂ, ਅਸਫਲਤਾਵਾਂ ਦੀ ਗਿਣਤੀ ਅਤੇ ਜਵਾਬਦੇਹੀ ਦਰਜ ਕਰੋ, ਕੋਈ ਅਸੰਬੰਧਿਤ ਗਤੀ ਟੈਸਟ ਦਾ ਨਤੀਜਾ ਨਹੀਂ।

curl -sS -o /dev/null -w '%{time_connect} %{time_appconnect} %{time_total}\n' \
  https://files.example.com/report.pdf
mtr -rwc 20 203.0.113.10
mtr -rwc 20 10.20.30.40

ਇਹ ਸੰਖਿਆਵਾਂ ਕਨੈਕਸ਼ਨ ਸਥਾਪਨਾ ਨੂੰ ਟ੍ਰਾਂਸਫਰ ਸਮੇਂ ਤੋਂ ਵੱਖ ਕਰਦੀਆਂ ਹਨ, ਜੋ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿਉਂਕਿ ਦੋਵੇਂ ਰਾਹ ਆਮ ਤੌਰ 'ਤੇ ਸਾਈਫਰ ਖਰਚ ਵਿੱਚ ਨਹੀਂ, ਸਗੋਂ ਆਉਣ-ਜਾਣ ਦੇ ਵਿਲੰਬ ਅਤੇ MTU ਵਿੱਚ ਵੱਖਰੇ ਹੁੰਦੇ ਹਨ। TLS ਕੰਮ ਦੋਵੇਂ ਡਿਜ਼ਾਈਨਾਂ ਵਿੱਚ ਸਿਰਿਆਂ 'ਤੇ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਸੁਰੰਗ ਇਨਕੈਪਸੂਲੇਸ਼ਨ, ਵੱਖਰਾ ਰੂਟ ਅਤੇ ਸ਼ਾਇਦ ਵਧੇਰੇ ਰੁੱਝਿਆ ਗੇਟਵੇ ਜੋੜਦੀ ਹੈ। ਜੇ ਸੁਰੰਗ ਦਾ ਰਾਹ ਲੰਮਾ ਹੈ ਜਾਂ ਉਸਦਾ ਗੇਟਵੇ ਭਾਰੀ ਹੈ, ਤਾਂ ਫ਼ਰਕ ਰਾਹ ਦਾ ਹੈ, ਇਨਕ੍ਰਿਪਸ਼ਨ ਸ਼ਬਦ ਦਾ ਨਹੀਂ।

ਉਹ ਪ੍ਰਵੇਸ਼ ਨੀਤੀ ਚੁਣੋ ਜਿਸਦੀ ਸੇਵਾ ਨੂੰ ਸੱਚਮੁੱਚ ਲੋੜ ਹੈ, ਫਿਰ ਤੈਅ ਕਰੋ ਕਿ ਮਾਪਿਆ ਫ਼ਰਕ ਉਸਨੂੰ ਬਦਲਣਾ ਜਾਇਜ਼ ਠਹਿਰਾਉਂਦਾ ਹੈ ਜਾਂ ਨਹੀਂ। ਜਨਤਕ ਫਾਰਵਰਡ ਖੁੱਲ੍ਹੇ ਇੰਟਰਨੈੱਟ ਲਈ ਬਣੀ ਸੇਵਾ ਲਈ ਢੁਕਵਾਂ ਹੈ, ਸਰੋਤ ਪਾਬੰਦੀਆਂ, ਅੱਪਡੇਟ TLS ਅਤੇ ਸਾਹਮਣੇ ਨਿਗਰਾਨੀ ਨਾਲ। ਸਿਰਫ਼ ਸੁਰੰਗ ਰਾਹੀਂ ਪਹੁੰਚ ਅੰਦਰੂਨੀ ਸਾਧਨ ਲਈ ਢੁਕਵੀਂ ਹੈ ਜਿਸਦੇ ਵਰਤੋਂਕਾਰ ਪਹਿਲਾਂ ਹੀ ਰਜਿਸਟਰ ਹਨ, ਬਸ਼ਰਤੇ ਗੇਟਵੇ ਰੂਟਿੰਗ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਇਜਾਜ਼ਤਾਂ ਦੋਵੇਂ ਪੂਰੇ LAN ਨਾਲੋਂ ਤੰਗ ਹੋਣ।

ਡਿਜ਼ਾਈਨ ਨੂੰ ਪੂਰਾ ਐਲਾਨਣ ਤੋਂ ਪਹਿਲਾਂ ਚਾਰ ਗੱਲਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ: ਸਰੋਤਾ ਕਿਹੜੇ ਪਤੇ ਨਾਲ ਬੱਝਾ ਹੈ, ਕਿਹੜਾ ਨਿਯਮ ਜਾਂ ਰਾਹ ਪੈਕਟ ਅੰਦਰ ਲੈਂਦਾ ਹੈ, ਗਾਹਕ ਦੇ ਅਸਲ ਪਤੇ ਤੋਂ ਵਾਪਸੀ ਰਾਹ ਕੰਮ ਕਰਦਾ ਹੈ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਵੱਡੇ ਪੇਲੋਡ MTU ਪਾਰ ਕਰਦੇ ਹਨ ਜਾਂ ਨਹੀਂ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਹਰ ਇੱਕ ਲਈ ਉੱਪਰ ਆਦੇਸ਼ ਹੈ, ਅਤੇ ਕਿਸੇ ਦਾ ਵੀ ਜਵਾਬ «ਸੁਰੱਖਿਅਤ» ਸ਼ਬਦ ਜਾਂ ਬੈਂਡਵਿਡਥ ਚਾਰਟ ਨਹੀਂ ਦਿੰਦਾ।