سیمټریک NAT او VPN: نقشه اخیستنه وازموئ، نه لیبل
د پای نقطې پورې تړلې نقشه اخیستنه د همکارانو موندنې ته اغېزه کوي، نه عادي کلاینت-سرور تونل ته۔ پورټ واندازه کړئ، او که مستقیمه لار ناکامه شوه، ریلې وکاروئ۔
یو ملاتړ تار د «سیمټریک NAT، VPN به دلته کار ونکړي» په حکم پای ته رسېږي، او بیا کلاینت درې ځله بې سببه بیا نصبېږي۔ لیبل زیان رسوي ځکه چې هغه پوښتنې ته ځواب ورکوي چې چا نه ده پوښتلې۔ هغه کلاینت چې بهر ته له یو ثابت سرور سره نښلېږي، د لومړي پیکټ د لېږلو په شېبه کې نقشه جوړوي، او ځواب ته اجازه ورکول کېږي چې د هغو قواعدو له مخې بېرته راشي چې نږدې هر شبکه یې پلي کوي۔ هغه څه چې د پای نقطې پورې تړلې نقشه اخیستنه یې واقعاً پېچلي کوي، د دوو همکارانو هڅه ده چې په یو وخت یو بل ته ورسېږي، او هغه بېله ازموینه ده۔
د یو لیبل شاته دوه پوښتنې پټې دي
لومړۍ پوښتنه دا ده چې آیا د دې شبکې شاته یو کوربه کولای شي د یوې پېژندل شوې عامه پتې او پورټ ته ناسته پرانیزي۔ د تونل کلاینت لپاره دا عادي حالت دی، او ځواب نږدې تل هو دی۔ روټر داخلي سرچینه ثبتوي، بهرنی پورټ ځانګړی کوي، او ځواب تېرېږي ځکه چې هغه د یوې ناستې اړوند دی چې له داخل څخه پیل شوې۔
دوهمه پوښتنه دا ده چې آیا د بېلو شبکو شاته دوه کوربې کولای شي یو ګډ لار ومومي او پرته له منځني سرور یو بل ته ولېږي۔ دا په دې پورې تړلی دی چې هر شبکه هغه بهرني پورټونه څنګه ځانګړي کوي، او د نقشې اخیستنې چلند یوازې هماغه ځای اهمیت لري۔
د دواړو ګډول هغه کلاسیکه غلطه تشخیص جوړوي: د همکارانو یوه ځانګړتیا ناکامه کېږي، یو څوک د NAT ډول ازموینه چلوي، تر ټولو بدې کټګورۍ ویني، او نتیجه اخیستل کېږي چې عادي تونل هم نه شي کار کولای۔ ناکامه شوې شی هېڅکله تونل نه و۔
نقشه اخیستنه او فلټر کول دوه بېلې ځانګړتیاوې دي
د RFC اصطلاحات د پلورونکو له کارول شوو نومونو ډېر دقیق دي، او په ټکټ کې یې راوړل ارزښت لري ځکه چې جنجالونه فیصله کوي۔ نقشه اخیستنه دا ده چې بهرنی پورټ څنګه ځانګړی کېږي۔ فلټر کول دا دي چې کوم راغلي پیکټونه تېرېدلای شي۔ یوه شبکه کولای شي په یوه کې کلکه او په بل کې نرمه وي، او هماغه ترکیب هغه شی دی چې د همکارانو پروتوکول یې باید زغمي۔
| Behaviour | What it means | Effect on a direct peer path |
|---|---|---|
| Endpoint-independent mapping | One external port for every destination | Discovery works if the port is advertised |
| Address-dependent mapping | New port per remote address | Works only if both sides probe the same pair |
| Address-and-port-dependent | New port per remote address and port | Usually needs a relay |
درېیمه کرښه هغه ده چې ډېری کورني روټرونه او موبایل چلونکي د سیمټریک په معنا اخلي۔ پام وکړئ چې لیبل یوازې ځانګړنه بیانوي۔ داسې نقشه اخیستنه او نرم فلټر کول لرونکې شبکه لا هم کولای شي هغه پورټ ته راغلي پیکټونه ومني چې همدا اوس یې ځانګړی کړی، له همدې کبله سوري کول په ځینو بریالي او په ځینو ناکامه وي۔
فلټر کول خپلې درې پېښې او د هرې لپاره خپل نوم لري۔ په ټکټ کې «سیمټریک NAT» لیکل، کله چې موخه «د پتې او پورټ پورې تړلی فلټر کول» وي، بل کس د لارښود غلط فصل ته لېږي۔ دواړه په ازموینه کې بېل چلند کوي، نو غلطي یوازې نظري نه ده۔
د نوم ورکولو پر ځای نقشه اخیستنه واندازه کړئ
تاسې کولای شئ ځانګړی شوی پورټ په مستقیم ډول د هغې UDP خدمت د سرور له خوا وګورئ چې کنټرول یې کوئ۔ په عامه کوربه کې نیول پیل کړئ، له کلاینت څخه ولېږئ، او هغه سرچینه پورټ ولولئ چې پیکټ ورسره راغی:
sudo tcpdump -ni eth0 -c 10 'udp port 51820'
sudo wg show wg0 endpoints
sudo conntrack -L -p udp --dport 51820د پای نقطې کرښه له دریو څخه تر ټولو ګټوره ده، ځکه WireGuard له هر همکار څخه ترلاسه شوې وروستۍ پته او پورټ ثبتوي۔ هغه پورټ له هغه پورټ سره پرتله کړئ چې کلاینت فکر کوي یې کاروي۔ هر کله چې کوم ژباړه پېښه شي دوی به بېل وي، او مهمه پوښتنه دا ده چې آیا ارزښت ثابت پاتې کېږي۔
کتنه د دوهم منزل پورټ یا دوهم سرور په وړاندې تکرار کړئ او بیا پرتله کړئ۔ که بهرنی پورټ د هر منزل له مخې بدل شي، نقشه اخیستنه د پتې او پورټ پورې تړلې ده۔ که هغه هماغه پاتې شي، شبکه تاسې ته یوه نقشه درکوي او موندنه چانس لري۔
پر STUN ولاړې وسایلې هماغه ډلبندي په یوه ګام کې راپور کوي، او کله چې شبکه عامه STUN سرور ته وتونکی UDP اجازه کړي نو کارول یې سم دي۔ کله چې اجازه نه کړي، پورتنی نیول لاره لا هم کار کوي او پرته له هغه کوربه چې لا دمخه یې کنټرول کوئ بل څه نه غواړي۔
د ناکامۍ سره سم سمون وټاکئ
که ناکامه ځانګړتیا د همکارانو وي، ملاتړ شوي ځوابونه ریلې، د لیدنې خدمت چې دواړه همکاران ورته رسېدلای شي، یا بله ټوپولوژي ده۔ TURN همدا لپاره شته، او هغه محصول چې خپله ریلې لري تاسې ته وايي چې د ځینو شبکو دښمنانه چلند تمه لري۔
که ناکامه ځانګړتیا عادي تونل وي، د نقشې اخیستنې چلند ستاسې ستونزه نه ده او پورتنیو کې هېڅ یو نه پلي کېږي۔ وګورئ چې کلاینت واقعاً لېږي، سرور پیکټ ویني، او ځواب بېرته راځي۔ هغه ترتیب درې کتنې دي او د روټر د NAT کټګورۍ په اړه د څه پوهېدو غوښتنه نه کوي۔
هغه څه چې کار نه کوي دا دي چې تر هغه پورې د سیمه ییز پورټ بدلونونه خپرول چې یو څه ونښلېږي۔ د کلاینت د سرچینه پورټ بدلول دې ته بدلون نه ورکوي چې شبکه نقشې څنګه ځانګړي کوي۔ په پنځمه هڅه کې ناڅاپي بریا جعلي مثبته ده، او میاشتې به د حل په توګه ترې نقل وشي۔
حکم نه، معماري ثبت کړئ
یوه ګټوره یادښت وايي چې کوم پروتوکول، ناسته په کوم لوري پیلېږي، په لار کې ریلې شته که نه، او په تار کې څه ولیدل شول۔ «سیمټریک NAT، کار نه کوي» بېګټې ده، ځکه چې په یو وخت د تونل په اړه غلطه ده او د همکار د لارې په اړه معلومات نه ورکوي۔
که مو ازموېلي وي، اندازه شوې پورټ ثبات او د فلټر کولو چلند هم ورزیات کړئ۔ دا دوه حقایق بل چاته اجازه ورکوي چې پرته له ټولې څېړنې تکرارولو ووړاندوینه کړي چې نوې ځانګړتیا به په هغه شبکه کې کار وکړي که نه۔ دوی همدارنګه له هغې پلورونکي کټګورۍ ښه زړېږي چې په هر مرستې پاڼه کې لږ بل معنا لري۔
په پای کې، دا لیکل کله د RFC 4787 اصطلاحات لاس کې وساتئ۔ دقیق اصطلاحات کارول یوې جملې لګښت لري او بل لوستونکی له هماغه غلطې تشخیص تکرارولو منع کوي، او یادښت لیکلو ټول هدف همدا دی۔