ټینګ UDP پورټونه کولای شي د پورټ فوروډینګ څخه تېر شي، خو هره NAT نه

دوه کورني روټرونه، هیڅ فوروډ شوی پورټ نشته، او یو VPN چې کله ناکله بیا هم نښلېږي. UDP دا اجازه ورکوي، ځکه چې فایر وال به هغه پاکټ ومني چې کولای شي د ماشین له خوا پیل شوې جریان سره یې سمون وکړي. دا یوه شرطي چلَه ده، نه یو ځانګړتیا، او شرطونه په اسانۍ سره ویل کېدای شي کله چې پوه شئ فایر وال څه پرتله کوي. دوی همدا لامل هم دی چې ورته پروفایلونه په بېلابېلو شبکو کې بېلابېل چلند کوي.

هغه پرتله چې فایر وال کوي

هره بهر وتلې ډاټاګرامه یو لنډمهاله ننوتنه جوړوي: سرچینې پته، سرچینې پورټ، مقصد پته، مقصد پورټ. هر څه چې راځي او له ننوتنې سره سمون خوري، د ځواب په توګه ګڼل کېږي او تېرېږي. دننه راتلونکو قاعدو پدې کې هېڅ رول نلري.

نو پوښتنه دا نه ده چې فایر وال ملګری دننه پرېږدي. پوښتنه دا ده چې آیا د ملګري پاکټ د هغه ځواب په څېر ښکاري چې ننوتنه یې انتظار کوي. د هغه څلور برخه توپل یو ساحه بدله کړئ او پاکټ به اجنبي شي. ځکه چې یوازې د پورټ شمېره بدلېدو سره کار کوونکې ترتیبه کېدای شي ماته شي، او ځکه چې یو شمېر پورټ کېدای شي په یو روټر کار وکړي او په بل کې ناکام شي.

سیمه ییز سرچینه پورټ ټینګ کړئ، او هماغه شمېره به د تبادلې دواړو خواو کې ښکاره شي. دا ټول میکانیزم دی، او دا څرګندوي چې چلَه ولې نازکه ده نه پټه.

په هر سر کې یو پورټ ټینګول

د OpenVPN ډیفالټ UDP پورټ 1194 دی، او lport هغه سرچینه پورټ ټاکي چې له هغې څخه لیږي. دواړه ملګري ټینګ کړئ او د هر یو بهر وتلې توپل به هغه پورټ ته اشاره وکړي چې بل پرې اورېدل کوي:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

دا یوازې تر هغه کار کوي چې د دوی ترمنځ هېڅ روټر سرچینه پورټ بیا نه لیکي. کله چې پاکټونه په ثبت کې ښکاره شي خو تونل نه پورته شي، بیا لیکل لومړی شکمن دی.

چېرې توپل سمون خوړل بندوي

هغه NAT چې د مقصد له مخې نقشه کوي هر ملګري ته بېل بهرنی پورټ ورکوي. هغه پته چې ستاسو ملګري ته وویل شوه چې وکاروي هغه پته نه ده چې هغه ته رسېږي، نو راتلونکی پاکټ له هېڅ شي سره سمون نه خوري او په غلې ورسره غورځول کېږي.

د آپریټر کچې ژباړه، پرتو NAT او د پورټونو تصادفي کول ټول په یوه توګه پای ته رسېږي. هر منځنی بکس هم چې پورټونه بیا لیکي او پتې پخپله پرېږدي.

د جریان لیږدونکي نور هم بد حالت کې دي. د TCP لاس ورکول ګام په ګام تعقیبېږي، نو د TCP پر بنسټ VPN په دې توګه هېڅکله سوری کېدای نه شي او په لار کې دې چېرې اورېدونکی ته اړتیا لري.

معمولاً یو اړخ لومړی ناکامېږي

په عمل کې دواړه شبکې لږ تر لږه یو ډول چلند کوي. یو روټر کېدای شي د وړاندوینې وړ نقشه ورکړي پداسې حال کې چې بل د مقصد له مخې پورټونه ورکوي، او نتیجه هغه ترتیبه ده چې د دوو کورونو ترمنځ کار کوي او د موبایل شبکې څخه ناکامېږي. یو بل ته ضد راپورونه معمولاً د دوو بېلو روټر جوړو تشریح کوي. هېڅ لیکوال غلط نه دی، او هېڅ نتیجه عمومي کېدای نه شي.

د پروفایلونو د لاس وهلو دمخه ومومئ کوم اړخ پاکټ وغورځاوه. په دواړو سرونو ثبت په یوه هڅه کې دا فیصله کوي: هغه ډاټاګرامونه چې A پریږدي او هېڅکله B ته نه رسېږي معنا یې دا ده چې جریان په لار کې بیا لیکل شوی، پداسې حال کې چې هغه ډاټاګرامونه چې B ته رسېږي او هېڅ ځواب نه راګرځي معنا یې دا ده چې فایر وال دوی د اړوندو په توګه ونه منل.

دوه ملګري چې عامه IPv6 پتې لري ټوله ستونزه اوړي. پرته له ژباړې د سمون لپاره هېڅ نشته، نو یوازې د ملګرو نومونو یادوونکی د فایر وال قاعده بس ده او ډیزاین د روټر چلند پورې تړلی پاتې کېدل بندوي.

کله دې هڅه پرېږدو

عامه پته لرونکی هوسټ باوري ځواب دی. دا کولای شي د دواړو ملګرو لپاره تونل پای ته ورسوي، یا یوازې مرسته وکړي چې د یو بل اوسنۍ بهرنۍ پته ومومي، او دواړه ترتیبات کار کوي که NAT څه هم وکړي. که پالیسي اجازه ورکړي، مدیریت شوې پوښ به هماغه همغږي برابره کړي.

د دې له جملې هېڅ یو هم بند فایر وال ته اړتیا نلري. د مستقیم اړیکې د ګټلو لپاره ساتنې بندول هغه لامل غورځوي چې مستقیمه هڅه یې زړه راښکوونکې کړې وه، او ماشین د ازموینې ټولې مودې لپاره خلاص پرېږدي.

لومړی مستقیم ترتیب وآزمویاست، بیا ولیکئ چې څه ولیدل. د NAT چلند او هغه ثبت چې دا یې ښودلی د هغه پورټ جوړې څخه چې په پای کې مو وکاروله ډېر ارزښت لري، ځکه چې بله شبکه به بېله وي. د OpenVPN 2.6 لارښود مستند کوي lport او هغه remote اختیارونه چې دا پرې تړلی دی.