ਰਾਊਟਰ ’ਤੇ VPN ਜਾਂ ਪੋਰਟ ਫਾਰਵਰਡਿੰਗ: ਕਿਹੜਾ ਜਿੱਤਦਾ ਹੈ?

ਰਾਊਟਰ ਆਪ VPN ਨੂੰ ਖ਼ਤਮ ਕਰਦਾ ਹੈ, ਅਤੇ ਪੁਰਾਣਾ ਫਾਰਵਰਡਿੰਗ ਨਿਯਮ ਅਜੇ ਵੀ ਉਹੀ UDP ਪੋਰਟ LAN ਦੀ ਇੱਕ ਮਸ਼ੀਨ ਵੱਲ ਭੇਜਦਾ ਹੈ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਹੀ ਸੱਚਾ ਅੰਤਿਮ ਬਿੰਦੂ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ ਕਰਨਲ ਇਹਨਾਂ ਵਿਚਕਾਰ ਫ਼ੈਸਲਾ ਨਹੀਂ ਕਰਦਾ। ਮੰਜ਼ਿਲ ਦਾ ਅਨੁਵਾਦ ਸਥਾਨਕ ਸੇਵਾ ਨੂੰ ਪੁੱਛਣ ਤੋਂ ਪਹਿਲਾਂ ਪੈਕੇਟ ਨੂੰ ਮੁੜ ਲਿਖਦਾ ਹੈ, ਇਸ ਲਈ VPN ਪਰਕਿਰਿਆ ਉਸ ਟਰੈਫ਼ਿਕ ਦੀ ਉਡੀਕ ਕਰਦੀ ਹੈ ਜੋ ਪਹਿਲਾਂ ਹੀ ਕਿਤੇ ਹੋਰ ਭੇਜਿਆ ਗਿਆ ਹੈ। ਕੰਮ ਹੈ ਪੋਰਟ ਕਿਸਦਾ ਹੈ ਇਹ ਤੈਅ ਕਰਨਾ, ਅਤੇ ਫਿਰ ਨਿਯਮਾਂ ਨੂੰ ਇਕੱਠਾ ਮਿਲਾਉਣਾ।

ਇੱਕ ਪੋਰਟ, ਦੋ ਦਾਅਵੇਦਾਰ ਮਾਲਕ

ਰਾਊਟਰ ਦੇ ਅੰਦਰ ਚੱਲਦੇ VPN ਸਰਵਰ ਨੂੰ ਆਪਣੇ ਸਾਕਟ ਵੱਲ ਲੈ ਜਾਣ ਵਾਲੀ ਆਉਣ ਵਾਲੀ ਇਜਾਜ਼ਤ ਚਾਹੀਦੀ ਹੈ। ਉਸੇ ਪੋਰਟ ਲਈ ਮੰਜ਼ਿਲ-NAT ਐਂਟਰੀ ਬਿਲਕੁਲ ਹੋਰ ਕਿਤੇ ਲੈ ਜਾਂਦੀ ਹੈ: LAN ਪਤਾ ਅਤੇ ਫਾਰਵਰਡਿੰਗ ਫ਼ੈਸਲਾ। ਇਹ ਵੱਖਰੇ ਲੌਗ ਅਤੇ ਵੱਖਰੇ ਫੇਲ੍ਹ ਹੋਣ ਦੇ ਢੰਗ ਵਾਲੇ ਵੱਖਰੇ ਅੰਤਿਮ ਬਿੰਦੂ ਹਨ। ਆਮ ਸੰਕੇਤ ਇਹ ਹੈ ਕਿ ਇੱਕ ਪਤਾ ਪਰਿਵਾਰ ਕੰਮ ਕਰਦਾ ਹੈ ਅਤੇ ਦੂਜਾ ਨਹੀਂ, ਕਿਉਂਕਿ ਬਚੀ ਐਂਟਰੀ ਇੱਕ ਪਰਿਵਾਰ ਲਈ ਲਿਖੀ ਗਈ ਸੀ ਅਤੇ ਦੁਬਾਰਾ ਕਦੇ ਨਹੀਂ ਵੇਖੀ ਗਈ।

ਸੋਧ ਤੋਂ ਪਹਿਲਾਂ ਦਾਅਵਾ ਲਿਖੋ: ਪਰਿਵਾਰ, ਬਾਹਰੀ ਪਤਾ, ਆਵਾਜਾਈ, ਪੋਰਟ ਅਤੇ ਅਨੁਵਾਦਿਤ ਟੀਚਾ।

ਸਥਾਨਕ ਜਾਂਚ ਤੋਂ ਪਹਿਲਾਂ ਅਨੁਵਾਦ ਚੱਲਦਾ ਹੈ

ਮੰਜ਼ਿਲ NAT ਕਰਨਲ ਵੱਲੋਂ ਸਥਾਨਕ ਡਿਲੀਵਰੀ ਅਤੇ ਫਾਰਵਰਡਿੰਗ ਵਿਚਕਾਰ ਚੋਣ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ, ਪੂਰਵ-ਰੂਟਿੰਗ ਪੜਾਅ ਵਿੱਚ ਪੈਕੇਟ ਦਾ ਟੀਚਾ ਬਦਲਦਾ ਹੈ। ਟੀਚਾ LAN ਹੋਸਟ ਬਣਨ ’ਤੇ ਪੈਕੇਟ ਫਾਰਵਰਡਿੰਗ ਮਾਰਗ ਲੈਂਦਾ ਹੈ। ਰਾਊਟਰ ਦੇ ਆਪਣੇ ਸਾਕਟ ਲਈ ਇਨਪੁਟ ਨਿਯਮ ਕਦੇ ਨਹੀਂ ਵੇਖੇ ਜਾਂਦੇ, ਇਸ ਲਈ ਕਲਾਇੰਟ ਦੇ ਉਡੀਕਦਿਆਂ VPN ਲੌਗ ਖਾਲੀ ਰਹਿੰਦਾ ਹੈ।

Intended local entry:
WAN UDP 1194 -> router local socket -> input path

Conflicting old entry:
WAN UDP 1194 -> DNAT 192.168.50.10:1194 -> forward path

ਇਹੀ ਕ੍ਰਮ ਪੂਰੀ ਕਾਰਜਪ੍ਰਣਾਲੀ ਹੈ, ਅਤੇ ਯੰਤਰ ਇੰਟਰਫ਼ੇਸ ਇਸਨੂੰ ਬਦਲੇ ਬਿਨਾਂ ਚੈੱਕਬਾਕਸ ਪਿੱਛੇ ਲੁਕਾਉਂਦੇ ਹਨ। ਪੈਕੇਟ ਕਿਹੜਾ ਮਾਰਗ ਲਵੇਗਾ ਇਹ ਅਜੇ ਵੀ ਮੰਜ਼ਿਲ ਦਾ ਮਾਲਕ ਤੈਅ ਕਰਦਾ ਹੈ।

ਜੇ LAN ਹੋਸਟ ਹੀ ਇੱਛਤ ਅੰਤਿਮ ਬਿੰਦੂ ਹੈ, ਤਾਂ ਫਾਰਵਰਡਿੰਗ ਸਹੀ ਹੈ ਅਤੇ ਰਾਊਟਰ ਨੂੰ ਉਸੇ ਪੋਰਟ ’ਤੇ ਵੀ ਨਹੀਂ ਸੁਣਨਾ ਚਾਹੀਦਾ।

ਇੱਕ ਮੈਪਿੰਗ ਰੱਖੋ ਅਤੇ ਦੂਜੀ ਹਟਾਓ

ਉਸ ਪੋਰਟ ਅਤੇ ਪਰਿਵਾਰ ਲਈ NAT ਐਂਟਰੀਆਂ ਦੀ ਸੂਚੀ ਬਣਾਓ ਅਤੇ ਬਚਣ ਵਾਲਾ ਚੁਣੋ:

sudo iptables -t nat -S | grep 1194
sudo ss -lunp | grep :1194

ਉਸੇ ਨੰਬਰ ਵਾਲੀ TCP ਐਂਟਰੀ UDP ਫੇਲ੍ਹ ਹੋਣ ਲਈ ਅਪ੍ਰਸੰਗਿਕ ਹੈ, ਅਤੇ ਇਹਨਾਂ ਨੂੰ ਇੱਕੋ ਵਸਤੂ ਮੰਨਣ ਨਾਲ ਗਲਤ ਨਿਯਮ ਮਿਟ ਜਾਂਦਾ ਹੈ। ਜਦੋਂ ਸਥਾਨਕ ਸਾਕਟ ਨੂੰ ਜਿੱਤਣਾ ਚਾਹੀਦਾ ਹੈ, ਟਕਰਾਉਂਦੀ ਮੈਪਿੰਗ ਦਾ ਮਾਲਕ ਉਹੀ ਇੱਕ ਐਂਟਰੀ ਹਟਾਉਂਦਾ ਜਾਂ ਮੁੜ ਲਿਖਦਾ ਹੈ, ਅਤੇ ਰਾਊਟਰ ਦੇ ਆਪਣੇ ਪੋਰਟ ਲਈ ਆਉਣ ਵਾਲੀ ਇਜਾਜ਼ਤ ਆਪਣੀ ਥਾਂ ’ਤੇ ਰਹਿੰਦੀ ਹੈ। ਅਸੰਬੰਧਿਤ ਫਾਰਵਰਡਿੰਗ, ਪ੍ਰਬੰਧਨ ਮਾਰਗ ਅਤੇ ਨਿਯਮ-ਸਮੂਹ ਦੀ ਨਕਲ—ਸਭ ਨੂੰ ਇਸ ਬਦਲਾਅ ਤੋਂ ਬਚਣਾ ਚਾਹੀਦਾ ਹੈ।

ਜੇ VPN ਵੱਖਰੇ ਹੋਸਟ ’ਤੇ ਰਹਿੰਦਾ ਹੈ, ਤਾਂ ਫਾਰਵਰਡਿੰਗ ਹੀ ਸਹੀ ਵਸਤੂ ਹੈ। ਕੰਟੇਨਰ ਜਾਂ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਦੀ ਸੇਵਾ ਨੂੰ ਪ੍ਰਕਾਸ਼ਿਤ ਪੋਰਟ ਦੀ ਲੋੜ ਹੋ ਸਕਦੀ ਹੈ, ਭਾਵੇਂ ਡੱਬੇ ਨੂੰ ਰਾਊਟਰ ਕਿਹਾ ਜਾਵੇ, ਇਸ ਲਈ ਕੇਸ ’ਤੇ ਲੱਗੇ ਲੇਬਲ ਦੀ ਨਹੀਂ, ਸਾਕਟ ਅਤੇ ਉਸਦੇ ਨੇਮਸਪੇਸ ਦੀ ਪੈਰਵੀ ਕਰੋ।

ਬਾਹਰੋਂ ਮਾਲਕ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ

ਹਰ ਪਰਿਵਾਰ ਨੂੰ ਵੱਖਰੇ ਤੌਰ ’ਤੇ ਪਰਖੋ, ਕਿਉਂਕਿ ਰਾਊਟਰ ’ਤੇ ਖ਼ਤਮ ਹੋਣ ਵਾਲਾ IPv6 ਕਨੈਕਸ਼ਨ ਉਸ IPv4 ਕਨੈਕਸ਼ਨ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ ਜਿਸਨੂੰ ਪੁਰਾਣਾ ਨਿਯਮ ਰੀਡਾਇਰੈਕਟ ਕਰਦਾ ਹੈ। ਇਹ ਵੇਖਣ ਲਈ ਕਿ ਕਿਹੜਾ ਅੰਤਿਮ ਬਿੰਦੂ ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਹੈ, ਪ੍ਰਾਪਤ ਕਰਨ ਵਾਲੀ ਸੇਵਾ ਦਾ ਲੌਗ ਪੜ੍ਹੋ, ਅਤੇ ਕਲਾਇੰਟ ਦੇ ਸਫਲਤਾ ਸੁਨੇਹੇ ਨੂੰ ਕਮਜ਼ੋਰ ਸਬੂਤ ਮੰਨੋ। ਅਰਥਪੂਰਨ ਪਰਖ ਲਈ ਨਵਾਂ ਪ੍ਰਵਾਹ ਚਾਹੀਦਾ ਹੈ। ਬਾਹਰੀ ਹੋਸਟ ਤੋਂ nc -zvu 203.0.113.7 1194 ਨਾਲ ਪ੍ਰੋਬ ਭੇਜੋ ਅਤੇ ਜੇਤੂ ਦਾ ਲੌਗ journalctl -u openvpn@server -n 20 ਨਾਲ ਪੜ੍ਹੋ। ਰਾਊਟਰ ਦਾ ਸਰੋਤਾ ਕਨੈਕਸ਼ਨ ਆਪ ਲੌਗ ਕਰਦਾ ਹੈ, ਜਦਕਿ LAN ਹੋਸਟ ਇਸਨੂੰ ਆਪਣੀ ਸੇਵਾ ਵਿੱਚ ਲੌਗ ਕਰਦਾ ਹੈ।

ਕਨੈਕਸ਼ਨ ਟਰੈਕਿੰਗ ਮੌਜੂਦਾ ਪ੍ਰਵਾਹਾਂ ਨੂੰ ਉਹਨਾਂ ਦੀ ਮੂਲ ਮੈਪਿੰਗ ’ਤੇ ਰੱਖਦੀ ਹੈ, ਇਸ ਲਈ ਸਥਾਪਿਤ ਸੈਸ਼ਨ ਉਸ ਨਿਯਮ ਨਾਲੋਂ ਵੱਧ ਜੀ ਸਕਦਾ ਹੈ ਜੋ ਤੁਸੀਂ ਹੁਣੇ ਠੀਕ ਕੀਤਾ ਹੈ।

ਜਦੋਂ ਇੱਛਤ ਅੰਤਿਮ ਬਿੰਦੂ ਆਪਣੀਆਂ ਆਮ ਪਛਾਣ ਜਾਂਚਾਂ ਨਾਲ ਜਵਾਬ ਦੇਵੇ, ਤਾਂ ਸੁਰੰਗ ਪਿੱਛੇ ਦੇ ਨਿੱਜੀ ਸਰੋਤ ਦੀ ਪਰਖ ਕਰੋ। ਬਾਹਰੀ ਸਰੋਤੇ ਤੱਕ ਪਹੁੰਚਣਾ ਸਿਰਫ਼ ਪਹਿਲਾ ਕਦਮ ਹੈ; ਅੰਦਰੂਨੀ ਰੂਟਿੰਗ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਅਧਿਕਾਰ ਵੱਖਰੇ ਨਤੀਜੇ ਹਨ।