یو OpenVPN پورټ، درې خدمتونه: ولې داخلي پورټونه مهم دي

یو SSH ناسته، یو ویب اپلیکیشن او یوه نوم پلټنه کولی شي پرته له دې چې د پورټونو سر وکړي، یو VPN اړیکه شریکه کړي۔ کلاینټ ګیټوې ته یو کوډ شوی جریان جوړوي، او هر اپلیکیشن خبرې اترې د هغه په داخل کې تګ کوي۔ له بهر یوازې د ټنل خپل ټرانسپورټ او پورټ ښکاري۔ له داخل هر خدمت خپل پورټ ساتي او بیا هم خپله اجازه غواړي۔

بهرنی جریان څه وړي، او څه پټوي

کلاینټ هر پاکټ د ماشین له پریښودو مخکې د ټنل په ټرانسپورټ کې نغاړي۔ هغه بهرنی جریان یو هدف پورټ لري، چې د VPN د تنظیم پر مهال ټاکل شوی و۔ د نغاړې په داخل کې هر اصلي پاکټ د هغه خدمت پته او پورټ ساتي چې هدف یې دی۔ ګیټوې نغاړه لرې کوي او د داخلي سرلیک له مخې لارښونه کوي، نو هدف له شبکې څخه رارسېدونکی عادي کلاینټ ویني۔

نو د WAN انټرفیس پر نیول یوه خبره اتره ښیي، نه درې۔ داخلي پورټونه یوازې د ډيکپسول کولو وروسته ښکاري۔ له همدې کبله یو د اور دېوال سوری کولی شي SSH، HTTPS او DNS په یو وخت کې ووړي۔

# WAN side: one outer tuple, whatever the inner services are
tcpdump -ni wan0 'udp port 443'
# tunnel side: the inner tuples appear after decapsulation
tcpdump -ni tun0

د TUN/TAP اسناد هغه لېږد تشریح کوي چې په هغه کې لارښود شوی TUN وسیله د کرنل او د کاروونکي فضا پروسې ترمنځ IP پاکټونه لېږدوي۔ همدا لېږد داخلي سرلیک د ګیټوې د لارښونې او د اور دېوال کوډ ته ښکاره کوي۔ همدا راز تشریح کوي چې ولې بهرنی پورټ د دې په اړه څه نه وایي چې کوم خدمتونه اجازه لري۔

د NAT لېږد اورېدونکي ته اړه لري، نه اپلیکیشنونو ته

په IPv4 NAT شاته خپل ځان کوربه شوی ګیټوې یو راتلونکی ژباړې ته اړتیا لري: عامه پته او پورټ د VPN اورېدونکي سره نښلول کیږي۔ یوازې د دې لپاره چې د ټنل کاروونکي ورته رسي، د SSH، HTTPS یا DNS لپاره هېڅ قاعده نه غوښتل کیږي۔ هغه پورټونه خپرول به هغه خدمتونه ښکاره کړي چې ټنل لا دمخه يې ساتنه کوي۔ د لېږد قاعده د اورېدونکي د رسیدو وړتیا بیانوي، نه د داخل لپاره اجازه۔

برعکس هم سم دی۔ د ټنل پورټ پرانیستل بل څه نه ښکاره کوي، نو هغه خدمت چې یوازې د ټنل له لارې رسیدونکی وي خپله عامه سطحه بنده ساتي۔ همدا جلاوالی معمولاً د خدمت د خصوصي ساتلو دلیل وي۔

داخلي پالیسي هغه ځای دی چې لاسرسی واقعاً پکې پرېکړه کیږي

کوډ کول لاره ساتي؛ هدف ته اجازه نه ورکوي۔ د کلاینټ لارې ټاکي چې کوم پریفکسونه ټنل ته ننوځي، د ګیټوې لېږد پالیسي پرېکړه کوي چې پاکټونه ترې ووزي که نه، او د هدف د اور دېوال او ننوتل پرېکړه کوي چې خدمت ځواب ووایي که نه۔ DNS ترټولو روښانه قضیه ده: پوښتنو وړل د دې لامل نه کیږي چې ریزارور هغوی ستاسو د کلاینټ له زېرمې ومني۔ هر پوړ کولی شي په خپلواک ډول نه ووایي۔

د ټنل له لارې هر خدمت په جلا توګه وازموئ۔ بریالۍ پلټنه د ویب پورټ په اړه څه نه وایي، او بریالۍ ویب غوښتنه د SSH په اړه څه نه وایي۔

dig @10.40.0.53 app.corp.example
nc -vz 10.40.0.10 8443
ssh -p 2222 [email protected]

کله چې ټنل روان وي او هر څه ناکام شي، لومړی د کلاینټ د لارو جدول ولولئ۔ کله چې یو خدمت ناکام شي او نور کار کوي، نیمګړتیا په هماغه هدف کې ده۔ دا دوه کتنې جلا مسؤلینو ته اشاره کوي، او د هغوی ګډول وخت ضایع کوي۔

WireGuard هماغه کرښه کاږي

WireGuard خپل بهرنی اورېدونکی ListenPort بولي، او داخلي اپلیکیشن بیا هم هغه خدمت پورټ کاروي چې ورته اړتیا لري۔ AllowedIPs د لارښود شویو پریفکسونو ټولګه ده، نه د اجازه شویو خدمت پورټونو لیست۔ هغه د پورټ اجازې لیست په توګه لوستل داسې قواعد جوړوي چې د ټنل له کار سره سمون نه لري۔ نوم اخیستنه بېله ده؛ پرتونو کېدل نه۔

خدمت ته اجازه ورکړئ په محلي انپټ پالیسي کې کله چې په خپله کوربه کې ځغلي، یا په لېږد پالیسي کې کله چې د هغه کوربه شاته وي۔ دا توپیر پرېکړه کوي چې کوم قواعدو ټولګه پاکټ ویني۔

عمومي بڼه یو بهرنی ټرانسپورټ له ډېرو داخلي خبرو سره دی۔ هغه محصولات چې څو بهرنیو تبادلو یا بل IP پروتوکول ته اړتیا لري، یادونه کوي چې د یو عامه پورټ نمونه دا ډیزاین بیانوي، نه هر VPN۔