ਕੀ ਅਪਸਟ੍ਰੀਮ ਰਾਊਟਰ ਸੱਚਮੁੱਚ ਇਨਬਾਊਂਡ VPN ਪੋਰਟ ਪਹੁੰਚਾਉਂਦਾ ਹੈ?

ਤਿੰਨ ਸ਼ਰਤਾਂ ਤੈਅ ਕਰਦੀਆਂ ਹਨ ਕਿ ਲੈਬ ਰਾਊਟਰ ਉੱਤੇ ਪੋਰਟ ਫਾਰਵਰਡ ਕੁਝ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰੇਗਾ ਜਾਂ ਨਹੀਂ: ਅਪਸਟ੍ਰੀਮ ਕਿਨਾਰਾ ਕੀ ਪਹੁੰਚਾਉਂਦਾ ਹੈ, ਕਿਹੜੀ ਨੀਤੀ ਲਾਗੂ ਕਰਦਾ ਹੈ, ਅਤੇ ਕੀ ਜਵਾਬ ਉਸੇ ਰਾਹ ਵਾਪਸ ਆਉਂਦੇ ਹਨ। ਜਨਤਕ ਦਿਖਣ ਵਾਲਾ ਪਤਾ ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਦਾ ਵੀ ਜਵਾਬ ਨਹੀਂ ਦਿੰਦਾ। /30 ਪ੍ਰੀਫਿਕਸ ਜਾਂ ਕੰਮ ਕਰਦਾ ਆਊਟਬਾਊਂਡ ਕਨੈਕਸ਼ਨ ਵੀ ਨਹੀਂ। NAT ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਇਹ ਸ਼ਰਤਾਂ ਕ੍ਰਮ ਵਿੱਚ ਰੱਖੋ, ਨਹੀਂ ਤਾਂ ਬਲਾਕ ਦੋ ਹੌਪ ਦੂਰ ਹੋਣ ਸਮੇਂ ਸਥਾਨਕ ਨਿਯਮ ਟੁੱਟਿਆ ਦਿਸੇਗਾ।

ਤਿੰਨ ਜਵਾਬ ਤੈਅ ਕਰਦੇ ਹਨ ਕਿ ਤੁਸੀਂ ਕਿਸ ਨੂੰ ਐਸਕਲੇਟ ਕਰੋਗੇ

ਅਪਸਟ੍ਰੀਮ ਮਾਲਕ ਹੈਂਡ-ਓਫ ਦਾ ਵਰਣਨ ਤਿੰਨ ਵਿੱਚੋਂ ਇੱਕ ਤਰੀਕੇ ਨਾਲ ਕਰ ਸਕਦਾ ਹੈ। ਮੰਜ਼ਿਲ ਸਿੱਧਾ ਤੁਹਾਡੇ ਇੰਟਰਫੇਸ ਉੱਤੇ ਪਹੁੰਚਾਈ ਜਾਂਦੀ ਹੈ, ਵੱਖਰਾ ਪ੍ਰੀਫਿਕਸ ਤੁਹਾਡੇ ਅਗਲੇ ਹੌਪ ਉੱਤੇ ਰੂਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜਾਂ ਅੱਗੇ ਕੁਝ ਤੁਹਾਡੇ ਕੋਲ ਪਹੁੰਚਣ ਤੋਂ ਪਹਿਲਾਂ ਪਤੇ ਦਾ ਅਨੁਵਾਦ ਕਰਦਾ ਹੈ। ਹਰ ਜਵਾਬ ਇੱਕ ਵੱਖਰੇ ਯੰਤਰ ਦਾ ਨਾਮ ਦਿੰਦਾ ਹੈ ਜਿਸ ਨੂੰ ਇਨਬਾਊਂਡ ਕਨੈਕਸ਼ਨ ਦੀ ਆਗਿਆ ਦੇਣੀ ਚਾਹੀਦੀ ਹੈ, ਅਤੇ ਇੱਕ ਵੱਖਰੀ ਟੀਮ ਦਾ ਜਿਸ ਨੂੰ ਫ਼ੋਨ ਕਰਨਾ ਹੈ ਜਦੋਂ ਅਜਿਹਾ ਨਹੀਂ ਹੁੰਦਾ।

ਫ਼ਿਲਟਰਿੰਗ ਚੌਥਾ ਵੇਰੀਏਬਲ ਹੈ ਅਤੇ ਇਹ ਤਿੰਨਾਂ ਤੋਂ ਸੁਤੰਤਰ ਹੈ। ਨੈੱਟਵਰਕ ਉਸ ਟ੍ਰੈਫ਼ਿਕ ਨੂੰ ਫ਼ਿਲਟਰ ਕਰ ਸਕਦਾ ਹੈ ਜੋ ਆਪਣਾ ਜਨਤਕ ਪਤਾ ਰੱਖਦਾ ਹੈ, ਅਤੇ ਅਨੁਵਾਦਕ ਆਪਣੇ ਆਪ ਨੀਤੀ ਦੀ ਹੱਦ ਨਹੀਂ ਹੁੰਦਾ। ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਸਰੋਤ ਪਤੇ, ਟ੍ਰਾਂਸਪੋਰਟ ਅਤੇ ਪੋਰਟ ਬਾਰੇ ਡਿਲੀਵਰੀ ਦੇ ਨਾਲ ਹੀ ਪੁੱਛੋ, ਕਿਉਂਕਿ ਕਿਨਾਰੇ ਵੱਲੋਂ ਸੁੱਟਿਆ ਫਾਰਵਰਡ ਕੀਤਾ ਪੋਰਟ ਕਦੇ ਤੁਹਾਡੇ ਨਿਯਮ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦਾ।

ਹੈਂਡ-ਓਫ ਨੂੰ ਸੇਵਾ ਇਕਰਾਰਨਾਮੇ ਵਜੋਂ ਪੜ੍ਹੋ

ਲੈਬ ਰਾਊਟਰ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਪੰਜ ਮੁੱਲ ਲਿਖੋ: ਦਿੱਤਾ ਗਿਆ ਇੰਟਰਫੇਸ ਪਤਾ, ਪ੍ਰੀਫਿਕਸ ਦੀ ਲੰਬਾਈ, ਅਗਲਾ ਹੌਪ, ਬਾਹਰੀ ਕਲਾਇੰਟ ਵਰਤਣ ਵਾਲਾ ਮੰਜ਼ਿਲ ਪਤਾ, ਅਤੇ ਸਹੀ ਪ੍ਰੋਟੋਕਾਲ ਤੇ ਪੋਰਟ। ਦਿਲਚਸਪ ਮੰਜ਼ਿਲ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਤੁਹਾਡੇ ਯੰਤਰ ਉੱਤੇ ਕਾਨਫ਼ਿਗਰ ਕੀਤਾ ਪਤਾ ਹੀ ਨਹੀਂ ਹੋ ਸਕਦਾ। ਜੇ ਅਪਸਟ੍ਰੀਮ ਆਸ ਰੱਖਦਾ ਹੈ ਕਿ ਕਲਾਇੰਟ ਅਨੁਵਾਦਿਤ ਪਤੇ ਤੱਕ ਪਹੁੰਚਣਗੇ, ਤਾਂ ਸਥਾਨਕ DNAT ਨੂੰ ਉਸ ਇਕਰਾਰਨਾਮੇ ਨਾਲ ਮੇਲ ਖਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਤੁਹਾਡੇ ਦਿਸਣ ਵਾਲੇ ਇੰਟਰਫੇਸ ਪਤੇ ਨਾਲ ਨਹੀਂ।

IETF ਦੀ ਫ਼ਾਇਰਵਾਲ-ਵਿਵਹਾਰ ਚਰਚਾ ਇੱਕ ਲਾਭਦਾਇਕ ਯਾਦ ਹੈ ਕਿ ਫ਼ਿਲਟਰਿੰਗ ਅਤੇ ਅਨੁਵਾਦ ਵੱਖਰੇ ਕੰਮ ਹਨ। ਇਹ ਸਮਝਾਉਂਦੀ ਹੈ ਕਿ ਰਾਊਟਰ ਪਤੇ ਲੁਕਾਏ ਬਿਨਾਂ ਇਨਬਾਊਂਡ ਨੀਤੀ ਕਿਵੇਂ ਲਾਗੂ ਕਰ ਸਕਦਾ ਹੈ, ਅਤੇ ਉੱਪਰ ਕਿਤੇ NAT ਹੋਣ ਨਾਲ ਇਹ ਕਿਉਂ ਸਾਬਤ ਨਹੀਂ ਹੁੰਦਾ ਕਿ ਫ਼ਿਲਟਰਿੰਗ ਉੱਥੇ ਹੀ ਹੋ ਰਹੀ ਹੈ। ਹੈਂਡ-ਓਫ ਨੂੰ ਮਾਲਕ ਅਤੇ ਤਬਦੀਲੀ ਪ੍ਰਕਿਰਿਆ ਵਾਲੇ ਸੇਵਾ ਵਰਣਨ ਵਜੋਂ ਲਵੋ।

ਦੋਵੇਂ ਹੱਦਾਂ ਉੱਤੇ ਇੱਕ ਯਤਨ ਦੇਖੋ

ਦੋ ਬਿੰਦੂਆਂ ਉੱਤੇ ਸਹਿ-ਸੰਬੰਧਿਤ ਇੱਕ ਸੰਕਰਾ, ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਯਤਨ ਅੰਦਾਜ਼ਿਆਂ ਦੇ ਢੇਰ ਦੀ ਥਾਂ ਲੈਂਦਾ ਹੈ। ਸਹੀ ਟਿਊਪਲ ਲਈ ਲੈਬ ਦੇ WAN ਇੰਟਰਫੇਸ ਉੱਤੇ ਕੈਪਚਰ ਚਲਾਓ, ਅਤੇ ਅਪਸਟ੍ਰੀਮ ਮਾਲਕ ਨੂੰ ਕਿਨਾਰੇ ਉੱਤੇ ਉਹੀ ਟਿਊਪਲ ਦੇਖਣ ਲਈ ਕਹੋ। ਦੋਵੇਂ ਦ੍ਰਿਸ਼ਾਂ ਵਿੱਚ ਮੰਜ਼ਿਲ, ਪ੍ਰੋਟੋਕਾਲ, ਪੋਰਟ, ਸਰੋਤ ਅਤੇ ਸਮਾਂ-ਛਾਪ ਇੱਕੋ ਜਿਹੇ ਰੱਖੋ।

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

ਨਤੀਜਿਆਂ ਦੀ ਜੋੜੀ ਨੂੰ ਫ਼ੈਸਲੇ ਵਜੋਂ ਪੜ੍ਹੋ। ਕਿਨਾਰੇ ਉੱਤੇ ਦਿਸਿਆ ਅਤੇ ਲੈਬ WAN ਉੱਤੇ ਦਿਸਿਆ ਭਾਵ ਡਿਲੀਵਰੀ ਅਤੇ ਕਿਨਾਰੇ ਦੀ ਨੀਤੀ ਦੋਵੇਂ ਪਾਸ ਹੋਏ, ਇਸ ਲਈ ਲਿਸਨਰ ਜਾਂ DNAT ਨਾਲ ਅੱਗੇ ਵਧੋ। ਕਿਨਾਰੇ ਉੱਤੇ ਦਿਸਿਆ ਪਰ ਲੈਬ WAN ਉੱਤੇ ਨਹੀਂ ਦਿਸਿਆ ਡਿਲੀਵਰੀ ਜਾਂ ਵਿਚਕਾਰਲੀ ਨੀਤੀ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ, ਅਤੇ ਅਗਲੀ ਕਾਲ ਅਪਸਟ੍ਰੀਮ ਮਾਲਕ ਨੂੰ। ਕਿਤੇ ਨਾ ਦਿਸਿਆ ਭਾਵ ਫ਼ਾਇਰਵਾਲ ਸਵਾਲ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਟੈਸਟ ਟਿਊਪਲ, ਸਰੋਤ ਜਾਂ ਰਾਹ ਗ਼ਲਤ ਹੈ।

ਇੱਕ ਕੈਪਚਰ ਵਿੱਚ ਸਬੂਤ ਦੀ ਗੈਰਹਾਜ਼ਰੀ ਫ਼ਾਇਰਵਾਲ ਦਾ ਸਬੂਤ ਨਹੀਂ ਹੈ। ਇਹ ਹੱਦ ਦਾ ਨਤੀਜਾ ਹੈ ਜੋ ਦੱਸਦਾ ਹੈ ਕਿ ਅੱਗੇ ਕਿਹੜਾ ਯੰਤਰ ਜਾਂਚਣਾ ਹੈ।

ਸਥਾਨਕ NAT ਨੂੰ ਜਵਾਬ ਲੁਕਾਉਣ ਨਾ ਦਿਓ

ਇਨਗ੍ਰੈਸ ਦੀ ਪੁਸ਼ਟੀ ਹੋਣ ਤੋਂ ਬਾਅਦ ਹੀ ਸਥਾਨਕ ਨਿਯਮ ਦਿਲਚਸਪ ਹੁੰਦਾ ਹੈ। ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ DNAT ਟਾਰਗਟ VPN ਲਿਸਨਰ ਦਾ ਅਸਲ ਪਤਾ ਅਤੇ ਪੋਰਟ ਹੈ, ਸੰਬੰਧਿਤ ਪਰਿਵਾਰ ਲਈ ਫਾਰਵਰਡਿੰਗ ਸਮਰੱਥ ਹੈ, ਅਤੇ ਜਵਾਬ ਉਸੇ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਨਿਕਲਦਾ ਹੈ ਜਿਸ ਉੱਤੇ ਬੇਨਤੀ ਆਈ ਸੀ। ਮੰਜ਼ਿਲ ਮੁੜ ਲਿਖਣ ਵਾਲਾ ਪਰ ਵਾਪਸੀ ਰਾਹ ਨਾ ਲਿਖਣ ਵਾਲਾ ਨਿਯਮ ਸੁੱਟੇ ਪੈਕਟ ਵਰਗੀ ਹੀ ਸਮਾਂ-ਸੀਮਾ ਪੈਦਾ ਕਰਦਾ ਹੈ।

ਜਾਂਚ ਦੌਰਾਨ ਪੋਰਟ ਸੁਰੱਖਿਆ ਅਤੇ ਉਤਪਾਦਨ ਹੈਂਡ-ਓਫ ਬਣਾਈ ਰੱਖੋ। ਅਟੈਚਮੈਂਟ ਕੰਟਰੋਲ ਟਾਲਣ ਲਈ ਰਾਊਟਰ ਬਦਲਣਾ ਜਾਂ ਉਸਦਾ MAC ਪਤਾ ਨਕਲੀ ਬਣਾਉਣਾ ਨਿਦਾਨ ਨੂੰ ਰੁਕਾਵਟ ਨਾਲ ਬਦਲਦਾ ਹੈ। ਮਿਰਰ ਪੋਰਟ ਜਾਂ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਕੈਪਚਰ ਲਿੰਕ ਸਾਂਝਾ ਕਰਨ ਵਾਲੀਆਂ ਸੇਵਾਵਾਂ ਨੂੰ ਡਿਸਕਨੈਕਟ ਕੀਤੇ ਬਿਨਾਂ ਉਹੀ ਦਿੱਖ ਦਿੰਦਾ ਹੈ।

ਮਾਲਕੀ ਨਕਸ਼ੇ ਨਾਲ ਸਮਾਪਤ ਕਰੋ: ਮੰਜ਼ਿਲ, ਪਹੁੰਚਾਉਣ ਵਾਲਾ ਯੰਤਰ, ਫ਼ਿਲਟਰ ਕਰਨ ਵਾਲਾ ਯੰਤਰ, ਲੈਬ ਇਨਗ੍ਰੈਸ ਅਤੇ ਲਿਸਨਰ। ਉਹ ਨਕਸ਼ਾ ਅਗਲੀ ਪੋਰਟ-ਫਾਰਵਰਡ ਸਮੀਖਿਆ ਨੂੰ ਛੋਟਾ ਬਣਾਉਂਦਾ ਹੈ, ਅਤੇ ਇਹ VPN ਆਪਣੇ ਬਾਰੇ ਕੁਝ ਵੀ ਪ੍ਰਮਾਣਿਤ ਨਹੀਂ ਕਰਦਾ।