ولې د DNS ځواب د VPN د پولې په بې حالته فایر وال کې ناکامېږي

تونل فعال دی، پیریدونکي کولی شي VPN کوربه ته ورسیږي، خو کوربه نشي کولی څه حل کړي. د هغه خپلې وتونکې پوښتنې انټرفیس په پاکه توګه پرېږدي، نو نیمګړتیا د بیرته راستنیدو په لار کې ده: په یوه پورتنۍ پوله کې چې راغونکي ترافیک فلټر کوي پرته له دې چې یاد وساتي کوربه څه نوي لیږلي. د تونل پورټ اجازه ورکول هغه تبادله په هیڅ ډول نه تشریح کوي. د DNS پوښتنې ځواب جلا بهیر دی، او که پوله بې حالته وي، هیڅ شي هغه ته د بیرته راتلو اجازه نه ده ورکړې.

دوه تبادلې یوه تبادله نه ده

ټوپل ولیکئ او تېروتنه ښکاره کیږي. د غوښتنې منزل پورټ د ځواب د سرچینې پورټ کیږي، کوم چې د ډیری خلکو د تصور خلاف دی کله چې د پورټ 53 لپاره راغونکې قاعده اضافه کوي:

query:  203.0.113.10:53018 -> 198.51.100.53:53
reply:  198.51.100.53:53 -> 203.0.113.10:53018

هغه راغونکې قاعده چې منزل پورټ 53 غواړي، هغه ترافیک بیانوي چې کوربه کې روان DNS اوریدونکي ته استول شوی، او دا بشپړه بله خدمت دی. هغه پته د اسنادو بېلګې دي، او سرچینه پورټ پیریدونکی د هرې پوښتنې لپاره غوره کوي، نو دا هغه ارزښت نه دی چې په قاعده کې کاپي کړئ او تمه وکړئ چې کار به یې دوام وکړي.

بې حالته پوله د کوربه د حالت لرونکي فایر وال په وړاندې

بې حالته پوله فلټر هر راغونکي پیکټ د خپلې قاعدې لیست سره پرتله کوي پرته له دې چې شاته د اړیکو جدول وي. هغه وتونکې پوښتنه چې په بریالیتوب سره ووتله، د خپل راغونکي ځواب لپاره هیڅ اجازه نه جوړوي، ځکه چې وسیله هیڅ ریکارډ نلري چې پوښتنه کله هم شوې وه. د کوربه حالت لرونکی فایر وال برعکس دی: د هغه د اړیکو تعقیب د اجازه شوې تبادلې د بیرته راستنیدونکي ترافیک پیژني او پرته له ځواب لپاره قاعدې پرېږدي. دواړه پولې په معمولي لار کې شته، او دواړه باید نیت شوي پیکټ ته اجازه ورکړي.

پرتلنه مهمه ده ځکه چې دوه وسیلې په جلا توګه ناکامېږي. حالت لرونکی فایر وال چې ځواب ردوي، غورځیدنه ثبتوي؛ بې حالته پوله هغه په غلیموالي ردوي، نو کوربه یوازې د وخت پای ته رسیږي.

اجازه د پورټ شمېرې نه، د پروتوکول شاوخوا جوړه کړئ

قاعده د حل کوونکي ریښتینو پتو، منزل کوربه او هغه د ترلاسه کولو پورټ پالیسي چې محصول یې ملاتړ کوي محدوده کړئ. د DNS د TCP لار هم په یاد ولرئ، ځکه چې لوی ځواب یا د لنډیدو له امله شاتګ تبادله TCP ته بېړوي او یوازې د UDP قاعده به یې ونه پوښي. که پوله د ټاکل شوي بهیر لپاره حالت لرونکې څیړنه ملاتړ کوي، هغه د لاس لیکل شوې ځواب قاعدې په پرتله غوره کړئ، ځکه چې حالت لرونکې لار په اتوماتيک ډول هغه پورټونه تعقیبوي چې پیریدونکي غوره کړي.

بیا تایید کړئ چې په لار کې کوم محصول ترافیک واقعاً فلټر کوي. مستند IPv4 پولې ساحه IPv6 پالیسي نه جوړوي، او د برابرونکي داخلي ترافیک ممکن هیڅکله هماغه فلټر نه تېرېږي.

ولې هر سرچینه پورټ 53 ته اجازه ورکول حل نه دی

هغه قاعده چې هر هغه څه ومني چې د سرچینې پورټ 53 ادعا کوي، هغه قاعده ده چې لیږونکی په سرلیک ساحه کې څه لیکي هغه ومني. پورټ شمېره لیږونکی تصدیق نه کوي او نه ثابتوي چې بار داده سم ځواب دی، نو قاعده د کوربه د خطر ساحه پراخوي پرته له دې چې حل باوري کړي. د لاسرسي لیست ساده کولو لپاره د دوی بندولو پرځای د سرچینې محدودیتونه او د پیریدونکي خپل ځواب څیړنې، د سرچینې پورټ تصادفي کول هم په کې، وساتئ.

که حل کوونکی هغه خدمت وي چې تاسو یې کنټرولوئ، د هغه پتو ته محدودول کافي دي. که دا عامه حل کوونکی وي، هغه پتو ته محدود کړئ چې تاسو منلي دي او په قاعده کې د تبصرې په توګه یې ولیکئ.

په سمه پوله، په سمه لور کې تایید کړئ

د هماغې پوښتنې لپاره په کوربه او پوله کې ثبت کړئ، او د پیکټ شمېرنې پرځای ټوپل پرتله کړئ. هغه پوښتنه چې دواړو خواو کې ښکاري خو د کوربه په خوا د ځواب نه ښکاري، راغونکي فلټر ته اشاره کوي؛ هغه پوښتنه چې یوازې د کوربه په خوا ښکاري، لارښوونې یا خود حل کوونکي ته اشاره کوي. که یوازې د UDP اجازه لرئ، د TCP پوښتنې سره تکرار کړئ، ځکه چې لومړی ازموینه هغه خلا نه شي لیدلی.

د دې سمول د کوربه لپاره هغه DNS تبادله بشپړوي چې واقعاً ورته اړتیا لري. دا کوربه عامه حل کوونکی نه جوړوي، لیږل شوي VPN بهیرونو ته اجازه نه ورکوي، او نه ثابتوي چې DNS د یوې بې اړیکې تونل ستونزې لامل و.