ایا پورته روټر واقعاً د VPN داخلي پورټونه رسولي؟

درې شرطونه فیصله کوي چې ایا په لابراتوار روټر کې د پورټ لېږد به څه خپاره کړي: پورته څنډه څه رسوي، کومه تګلاره پلي کوي، او ایا ځوابونه په همدې لار بېرته راځي۔ عام ښکارېدونکې پته د هغوی له یوه هم ځواب نه ورکوي۔ /30 مخفف یا کارکوونکی وتلی اړیکه هم نه۔ NAT د بدلولو دمخه دا شرطونه ترتیب کړئ، که نه نو کله چې بندول دوه ټوپونه لرې وي، سیمه ییز قاعده ماتېدلې ښکاري۔

درې ځوابونه فیصله کوي چې چاته اېسکالېټ وکړئ

د پورته څنډې مالک کولای شي لېږد د درې لارو له یوې تشریح کړي۔ هدف مستقیم ستاسو انټرفېس ته رسول کېږي، جلا مخفف ستاسو بل ټوپ ته ورلېږل کېږي، یا مخکې څه شی پته ستاسو تر رسېدو دمخه ژباړي۔ هر ځواب بېل وسیله نوموي چې د داخلېدونکې اړیکې اجازه باید ورکړي، او بېله ډله چې کله داسې نه شي باید زنګ ووهل شي۔

فلټر کول څلورم بدلېدونکی دی او له درېیو ټولو خپلواک دی۔ شبکه کولای شي هغه ترافیک فلټر کړي چې خپله عامه پته ساتي، او ژباړونکی په اتوماتيک ډول د تګلارې پوله نه ده۔ د اجازه ورکړل شوو سرچینو پتو، لېږد او پورټونو په اړه د رسولو سره یو ځای پوښتنه وکړئ، ځکه چې څنډه خوشې کړی لېږل شوی پورټ هېڅکله ستاسو قاعدې ته نه رسېږي۔

لېږد د خدمت تړون په توګه ولولئ

د لابراتوار روټر د لمس کولو دمخه پنځه ارزښتونه ولیکئ: ټاکل شوې انټرفېس پته، د مخفف اوږدوالی، بل ټوپ، هغه هدف پته چې بهرني مراجعین به یې کاروي، او دقیق پروتوکول او پورټ۔ زړه راښکونکی هدف دی، ځکه ممکن ستاسو په وسیله کې ټاکل شوې پته هېڅ نه وي۔ که پورته څنډه تمه کوي چې مراجعین ژباړل شوې پتې ته ورسېږي، سیمه ییز DNAT باید دې تړون سره سم وي، نه هغې انټرفېس پتې چې تاسو یې ګورئ۔

د IETF د اوروال د چلند بحث ګټور یادونه ده چې فلټر کول او ژباړل جلا دندې دي۔ هغه تشریح کوي چې روټر څنګه پرته له دې چې پتې پټې کړي داخلېدونکې تګلاره پلي کولای شي، او ولې د پورته یوې سیمې NAT دا نه ثابتوي چې فلټر کول هماغلته کېږي۔ لېږد د خدمت د تشریح په توګه وګڼئ چې مالک او د بدلون بهیر ولري۔

دواړو پولو کې یوه هڅه وګورئ

په دوو نقطو کې همغږی شوی یو تنګ، تصویب شوی هڅه د اټکلونو د غونډ له مینځه وړي۔ د دقیق tuple لپاره د لابراتوار په WAN انټرفېس کې نیول چل کړئ، او د پورته څنډې له مالک څخه وغواړئ چې هماغه tuple په څنډه کې وګوري۔ هدف، پروتوکول، پورټ، سرچینه او د وخت نښه د دوو لیدونو ترمنځ یو شان وساتئ۔

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

د پایلو جوړه د پرېکړې په توګه ولولئ۔ په څنډه کې لیدل شوی او په لابراتوار WAN کې لیدل شوی یعنې رسول او د څنډې تګلاره دواړه تېرېږي، نو له اورېدونکي یا DNAT سره مخکې لاړ شئ۔ په څنډه کې لیدل شوی خو په لابراتوار WAN کې نه لیدل شوی رسول یا منځنۍ تګلارې ته اشاره کوي، او بله زنګ د پورته څنډې مالک ته۔ هېچېرته نه لیدل شوی یعنې د اوروال پوښتنې دمخه ازموینه tuple، سرچینه یا لار غلطه ده۔

په یوه نیول کې د شاهد نشتوالی د اوروال ثبوت نه دی۔ دا د پولې پایله ده چې وایي بل کومه وسیله وګورئ۔

سیمه ییز NAT دې ځواب ونه پټوي

سیمه ییزه قاعده یوازې د ننوتلو تر تایید وروسته زړه راښکونکې کېږي۔ تایید کړئ چې د DNAT هدف د VPN اورېدونکي ریښتینې پته او پورټ دی، د اړوندې کورنۍ لپاره لېږد فعال دی، او ځواب له هماغه انټرفېس څخه وځي چې غوښتنه پرې راغلې وه۔ هغه قاعده چې هدف بیا لیکي خو د بېرته تګ لار نه، د غورځول شوي بنډل په څېر هماغه وخت ختمېدل رامنځته کوي۔

د پلټنې پرمهال د پورټ امنیت او د تولید لېږد وساتئ۔ د نښلولو کنټرولونو د تېرېدو لپاره روټر بدلول یا د هغې MAC پته جعلي کول تشخیص د خنډ سره تبادله کوي۔ د عکس پورټ یا تصویب شوی نیول پرته له دې چې د لینک شریکوونکي خدمتونه قطع کړي هماغه لید ورکوي۔

د مالکیت نقشې سره پای ته ورسئ: هدف، رسولوونکې وسیله، فلټر کوونکې وسیله، لابراتوار ننوتل او اورېدونکی۔ هغه نقشه بله د پورټ لېږد بیاکتنه کوچنۍ کوي، او د VPN په اړه هېڅ نه تصدیقوي۔