Acionamento de portas versus encaminhamento de portas para um servidor VPN doméstico

O encaminhamento de portas e o acionamento de portas ficam no mesmo menu na maioria dos roteadores domésticos, e por isso são tratados como duas maneiras de fazer um único trabalho. O encaminhamento é uma regra estática: uma conexão de entrada para uma porta WAN é traduzida para um endereço e uma porta internos fixos, ocorra ou não outra coisa. O acionamento é condicional: o roteador observa o tráfego de saída e só abre um mapeamento de entrada depois que uma conexão correspondente sai. Um servidor VPN espera que outra pessoa se conecte primeiro, então essa condição é justamente a única coisa que ele nunca pode cumprir.

Duas regras com ciclos de vida diferentes

O NAT do IPv4 tem estado. Quando um host interno envia um pacote para fora, o roteador cria um mapeamento para que as respostas encontrem o caminho de volta; um pacote de entrada que não corresponde a nenhum mapeamento é descartado, e esse é o comportamento que mantém um desktop sem atualização fora da internet. O encaminhamento é uma entrada de tradução permanente adicionada à mão. O acionamento é um buraco temporário vigiado por um padrão de tráfego.

A diferença prática é o tempo. Um encaminhamento existe desde o momento em que é salvo até que alguém o apague. Um mapeamento acionado existe depois que o gatilho dispara e fecha com um temporizador de inatividade, medido em minutos em hardware de consumo, ou imediatamente ao reiniciar.

Nenhum dos dois é mais seguro em abstrato. Um encaminhamento expõe uma porta continuamente; um gatilho a expõe apenas depois de determinado tráfego de saída. Para um serviço que precisa aceitar o primeiro pacote de um desconhecido, apenas um dos dois combina com a tarefa.

Por que o acionamento não publicará um servidor

Um servidor VPN é passivo por projeto. O par, seja um notebook em um café ou um celular em dados móveis, envia o primeiro pacote, e o roteador não tem nenhum mapeamento para ele. Nada lá dentro iniciou tráfego para a porta de acionamento, então a regra nunca dispara e a conexão morre antes de o handshake começar.

Onde o acionamento parece funcionar, outra coisa está gerando tráfego na porta de acionamento: um cliente na LAN, uma sonda de monitoramento ou as próprias verificações de saída do servidor. Então o mapeamento abre para aquele único host e fecha quando o tráfego para, de modo que o próximo par externo falha de novo enquanto o primeiro sucesso fica no log e parece uma prova.

O acionamento também costuma ser de um único host. Muitas implementações permitem que apenas um dispositivo interno detenha o mapeamento por vez, o que é exatamente errado para um servidor que deve responder a vários pares. O recurso foi criado para aplicações que abrem uma conexão de controle para fora e esperam dados de entrada em uma segunda porta, e ainda se encaixa nessa forma.

O que um encaminhamento realmente mapeia

Um encaminhamento é uma entrada de tradução: porta e protocolo WAN para endereço e porta internos. Ele precisa de um ouvinte já em execução do outro lado, e precisa que o endereço interno fique onde está. Uma concessão DHCP que se muda para outra máquina envia cada túnel para o host errado, em silêncio, então crie a reserva antes da regra.

O protocolo importa mais do que o formulário sugere. OpenVPN sobre UDP precisa de um encaminhamento UDP, o WireGuard precisa de UDP, e os dados de IPsec chegam como ESP, protocolo IP 50, que não tem porta nenhuma. Um formulário de encaminhamento que só aceita TCP ou UDP não consegue expressar isso, então o IPsec precisa de passthrough ou de um mapeamento estático um para um em vez de uma regra de porta.

A camada acima do seu roteador

Um encaminhamento controla apenas a tradução que é sua. Se o endereço WAN não é seu, o que acontece atrás de um NAT de operadora onde os assinantes compartilham 100.64.0.0/10 como descrito na RFC 6598, a conexão de entrada nunca chega ao seu roteador porque o provedor traduziu primeiro. Nenhuma regra no seu dispositivo pode corrigir essa ordem.

O NAT duplo é o mesmo problema em miniatura. Seu roteador encaminha para o roteador da operadora, que não tem nenhuma regra correspondente e descarta o pacote. Ou você adiciona a regra no dispositivo externo, ou coloca o dispositivo externo em modo ponte e deixa o seu ficar com o endereço público.

É por isso que o teste precisa vir de fora. Um teste da mesma LAN através do endereço público depende do suporte a hairpin NAT e pode passar ou falhar por motivos alheios à regra; um celular em dados móveis, ou um amigo em outra rede, é a verificação mais limpa.

Delimite a regra e depois verifique as duas metades

Encaminhe uma porta para um endereço. Uma faixa adicionada porque as primeiras tentativas falharam é como as interfaces de gestão acabam na internet, e o ouvinte de VPN não precisa da página de administração do roteador publicada ao lado.

Mantenha tudo o que já protegia aquele ouvinte: identidade por certificado ou chave, firewall do host, versões atuais dos pacotes. Um encaminhamento deixa entrar um pacote; a autenticação decide se o pacote vira um túnel, e são duas falhas separadas quando algo dá errado.

A verificação tem duas metades. O handshake precisa ser concluído a partir de uma rede externa, e depois um recurso privado atrás do servidor precisa responder pelo túnel. O encaminhamento admite a conexão do túnel e nada mais; o roteamento e a autorização para 10.8.0.0/24 são outro ajuste em outra tela.

Decida com três perguntas

Três perguntas resolvem a escolha mais rápido do que qualquer tabela de comparação:

• Algo se conecta de fora como primeiro pacote? Então use encaminhamento, ou um relé. O acionamento não consegue abrir sem tráfego de saída que nunca existirá.
• O buraco precisa sobreviver ao tempo de inatividade? Então use encaminhamento, porque um mapeamento acionado fecha segundo o próprio calendário.
• O endereço WAN é seu para publicar? Se não for, corrija a camada acima antes de editar qualquer regra.

Se a resposta às três for não, que é o caso de um notebook que disca sozinho para um provedor comercial, nenhuma das duas regras é necessária. Um cliente atrás de NAT funciona porque cria ele mesmo o mapeamento com estado, e isso cobre a maioria das pessoas que leem uma página sobre encaminhamento de portas à meia-noite.