په روټر کې VPN که د پورټ لېږد: کوم یو ګټي؟

روټر پخپله VPN پای ته رسوي، او یو زوړ د لېږد قاعده لا هم هماغه UDP پورټ LAN کې یوې ماشین ته لېږي. یوازې یو له دوی څخه کولی شي ریښتینی پای ټکی وي، او کرنل د دوی ترمنځ پریکړه نه کوي. د منزل ژباړه بسته بیا لیکي مخکې له دې چې محلي خدمت ته مراجعه وشي، نو د VPN بهیر د هغه ټرافیک انتظار کوي چې لا دمخه بل ځای ته لېږل شوی. دنده دا ده چې پریکړه وکړو چې پورټ د چا دی، او بیا قواعد سره سم کړو.

یو پورټ، دوه ادعا کوونکي مالکان

د روټر دننه چلېدونکي VPN سرور ته د داخلېدو اجازه غواړي چې خپل ساکټ ته ورسوي. د هماغه پورټ لپاره د منزل NAT ننوتنه بشپړ بل ځای ته وړي: LAN پتې او د لېږد پریکړې ته. دا د بېلو لاګونو او بېلو ناکامۍ لارو سره بېل پای ټکي دي. معمول نښه دا ده چې یوه پته کورنۍ کار کوي او بله نه، ځکه چې پاتې ننوتنه یوې کورنۍ لپاره لیکل شوې وه او هېڅکله بیا ونه کتل شوه.

له سمون مخکې ادعا ولیکئ: کورنۍ، بهرنۍ پته، ترانسپورت، پورټ او ژباړل شوی هدف.

ژباړه له محلي ګوتې مخکې ترسره کیږي

د منزل NAT د کرنل له خوا د محلي رسولو او لېږد ترمنځ له انتخاب مخکې، په مخکیني لارښوونې پړاو کې د بستې هدف بدلوي. کله چې هدف LAN هوسټ شي، بسته د لېږد لار اخلي. د روټر د خپل ساکټ لپاره د ننوتلو قواعد هېڅکله نه کتل کیږي، له همدې امله د مراجعینو د انتظار پر مهال VPN لاګ خالي پاتې کیږي.

Intended local entry:
WAN UDP 1194 -> router local socket -> input path

Conflicting old entry:
WAN UDP 1194 -> DNAT 192.168.50.10:1194 -> forward path

همدا ترتیب ټول میکانیزم دی، او د وسیلو انټرفیسونه یې د بدلولو پرته د چیک بکسونو شاته پټوي. بسته کومه لار اخلي دا لا هم د منزل مالک پریکړه کوي.

که LAN هوسټ په نظر کې نیول شوی پای ټکی وي، لېږد سم دی او روټر باید په هماغه پورټ هم ونه اورېدل شي.

یوه نقشه وساتئ او بله لرې کړئ

د هغه پورټ او کورنۍ لپاره NAT ننوتنې ولیکئ او پاتې کېدونکی وټاکئ:

sudo iptables -t nat -S | grep 1194
sudo ss -lunp | grep :1194

د هماغه شمېر TCP ننوتنه د UDP ناکامۍ لپاره بې اړیکې ده، او د دوی یو شی ګڼل د غلط قاعده پاکولو لامل کیږي. کله چې محلي ساکټ باید وګټي، د ټکر نقشې مالک هماغه یوه ننوتنه لرې کوي یا بیا لیکي، او د روټر د خپل پورټ لپاره د داخلېدو اجازه خپل ځای ته پاتې کیږي. نااړوند لېږدونه، د مدیریت لار او د قواعدو ټولګې یوه کاپي باید ټول بدلون ته ژوندی پاتې شي.

که VPN په بېل هوسټ کې ژوند کوي، لېږد د سم شی دی. په کانټینر یا مجازي ماشین کې خدمت ممکن خپور شوی پورټ ته اړتیا ولري، حتی کله چې بکس روټر بلل کیږي، نو ساکټ او د هغه نوم ځای تعقیب کړئ، نه د قاب پر لیبل.

د باندې څخه د مالک تایید

هره کورنۍ جلا وآزمویئ، ځکه چې په روټر کې پای ته رسېدونکې IPv6 اړیکه د هغې IPv4 اړیکې په اړه هېڅ نه وایي چې زوړ قاعده یې بیاځلي لارښوونه کوي. د ترلاسه کوونکي خدمت لاګ ولولئ چې وګورئ کوم پای ټکی ځواب ورکړ، او د مراجعینو د بریا پیغام کمزوری شاهد وګڼئ. د مانا لرونکي ازموینې لپاره نوې جریان ته اړتیا ده. له بهرني هوسټ څخه د nc -zvu 203.0.113.7 1194 په مرسته پروب ولېږئ او د ګټونکي لاګ د journalctl -u openvpn@server -n 20 په مرسته ولولئ. د روټر اورېدونکی خپله اړیکه ثبتوي، پداسې حال کې چې LAN هوسټ یې په خپل خدمت کې ثبتوي.

د اړیکو تعقیب موجودې جریانې د هغوی په اصلي نقشه کې ساتي، نو جوړه شوې ناسته کولی شي د هغې قاعدې څخه چې همدا اوس سمه کړه اوږده ژوند وکړي.

کله چې په نظر کې نیول شوی پای ټکی د خپلو معمولو هویت ګوتو سره ځواب ورکړ، د تونل شاته شخصي سرچینه وآزمویئ. بهرني اورېدونکي ته رسېدل یوازې لومړی ګام دی؛ داخلي لارښوونه او د اپلیکیشن اجازه بېلې پایلې دي.