එක් OpenVPN පෝට් එකක්, සේවා තුනක්: ඇතුළත පෝට් වැදගත් ඇයි

එක් ටනලයක්, සේවා තුනක්, පොදු පෝට් එකක්. පිටත VPN ශ්‍රවණය කරන්නා ඇතුළත යෙදුම් පෝට්වලින් වෙන් කරන්න, පසුව එක් එක් ඇතුළත අවසරය වෙන වෙනම පරීක්ෂා කරන්න.

එක් SSH සැසියක්, එක් වෙබ් යෙදුමක් සහ එක් නාම සෙවීමක් පෝට් සඳහා ගැටෙන්නේ නැතිව එකම VPN සම්බන්ධතාවක් බෙදා ගත හැක. සේවාදායකය ගේට්වේ වෙත එක් සංකේතනය කළ ප්‍රවාහයක් ගොඩනඟන අතර, සෑම යෙදුම් සංවාදයක්ම එහි ඇතුළත ගමන් කරයි. පිටතින් දිස්වන්නේ ටනලයේම ප්‍රවාහනය සහ පෝට් පමණි. ඇතුළත, සෑම සේවාවක්ම තම පෝට් රඳවා ගන්නා අතර තවමත් තම අවසරය අවශ්‍ය වේ.

පිටත ප්‍රවාහය රැගෙන යන්නේ කුමක්ද, සඟවන්නේ කුමක්ද

සේවාදායකය යන්ත්‍රයෙන් පිටවීමට පෙර සෑම පැකට්ටුවක්ම ටනලයේ ප්‍රවාහනය තුළ ඔතයි. එම පිටත ප්‍රවාහයට VPN වින්‍යාස කළ විට තීරණය වූ එක් ගමනාන්ත පෝට් එකක් ඇත. ඔතුම තුළ, සෑම මුල් පැකට්ටුවක්ම එය ඉලක්ක කරන සේවාවේ ලිපිනය සහ පෝට් රඳවා ගනී. ගේට්වේ ඔතුම ඉවත් කර ඇතුළත ශීර්ෂකය අනුව මාර්ගගත කරයි, එබැවින් ගමනාන්තය ජාලයෙන් පැමිණෙන සාමාන්‍ය සේවාදායකයෙකු දකී.

එබැවින් WAN අතුරුමුහුණතේ ග්‍රහණයක් පෙන්වන්නේ එක් සංවාදයක් මිස තුනක් නොවේ. ඇතුළත පෝට් දිස්වන්නේ විග්‍රහ කිරීමෙන් පසුව පමණි. එබැවින් එක් ෆයර්වෝල් විවරයක් SSH, HTTPS සහ DNS එකවර රැගෙන යා හැක.

# WAN side: one outer tuple, whatever the inner services are
tcpdump -ni wan0 'udp port 443'
# tunnel side: the inner tuples appear after decapsulation
tcpdump -ni tun0

TUN/TAP ලේඛනය මාර්ගගත TUN උපාංගයක් කර්නලය සහ පරිශීලක අවකාශ ක්‍රියාවලිය අතර IP පැකට්ටු හුවමාරු කරන හුවමාරුව විස්තර කරයි. එම හුවමාරුව ඇතුළත ශීර්ෂකය ගේට්වේගේ මාර්ගගත කිරීමේ සහ ෆයර්වෝල් කේතයට දෘශ්‍යමාන කරයි. කුමන සේවා අවසර දී ඇත්ද යන්න ගැන පිටත පෝට් කිසිවක් නොකියන්නේ ඇයිද යන්න ද එය පැහැදිලි කරයි.

NAT යොමු කිරීම අයත් වන්නේ ශ්‍රවණකරුටයි, යෙදුම්වලට නොවේ

IPv4 NAT පිටුපස ස්වයං-සත්කාරක ගේට්වේ එකකට එක් ඇතුළු පරිවර්තනයක් අවශ්‍ය වේ: පොදු ලිපිනය සහ පෝට් VPN ශ්‍රවණකරුට සිතියම් කෙරේ. ටනල් පරිශීලකයින් ඒවාට ළඟා වන නිසා SSH, HTTPS හෝ DNS සඳහා කිසිදු නීතියක් අවශ්‍ය නොවේ. එම පෝට් ප්‍රකාශයට පත් කිරීමෙන් ටනලය දැනටමත් ආරක්ෂා කරන සේවා නිරාවරණය වේ. යොමු කිරීමේ නීතිය විස්තර කරන්නේ ශ්‍රවණකරුගේ ළඟාවිය හැකි බවයි, ඇතුළත කිසිවකට අවසරයක් නොවේ.

ප්‍රතිවිරුද්ධය ද සත්‍යයයි. ටනල් පෝට් විවෘත කිරීම වෙනත් කිසිවක් නිරාවරණය නොකරයි, එබැවින් ටනලය හරහා පමණක් ළඟා විය හැකි සේවාවක් තම පොදු මතුපිට වසා තබා ගනී. එම වෙන් කිරීමයි සාමාන්‍යයෙන් සේවාව පෞද්ගලිකව තබා ගැනීමට හේතුව.

ප්‍රවේශය සැබවින්ම තීරණය වන්නේ ඇතුළත ප්‍රතිපත්තියේ ය

සංකේතනය මාර්ගය ආරක්ෂා කරයි; එය ගමනාන්තයකට බලය නොදේ. කුමන උපසර්ග ටනලයට ඇතුළු වන්නේද යන්න සේවාදායක මාර්ග තෝරයි, පැකට්ටු එයින් පිටවිය හැකිද යන්න ගේට්වේ යොමු කිරීමේ ප්‍රතිපත්තිය තීරණය කරයි, සේවාව පිළිතුරු දෙන්නේද යන්න ගමනාන්තයේ ෆයර්වෝලය සහ පිවිසුම තීරණය කරයි. DNS වඩාත්ම පැහැදිලි අවස්ථාවයි: විමසුම් රැගෙන යාම නිරාකරණය කරන්නා ඒවා ඔබේ සේවාදායක සංචිතයෙන් පිළිගනු ඇති බවට පත් නොකරයි. සෑම ස්තරයකටම ස්වාධීනව නැත කිව හැක.

ටනලය හරහා සෑම සේවාවක්ම වෙන වෙනම පරීක්ෂා කරන්න. සාර්ථක සෙවීමක් වෙබ් පෝට් ගැන කිසිවක් නොකියයි, සාර්ථක වෙබ් ඉල්ලීමක් SSH ගැන කිසිවක් නොකියයි.

dig @10.40.0.53 app.corp.example
nc -vz 10.40.0.10 8443
ssh -p 2222 [email protected]

ටනලය ක්‍රියාත්මකව ඇති අතර සියල්ල අසාර්ථක වන්නේ නම්, පළමුව සේවාදායකයේ මාර්ග වගුව කියන්න. එක් සේවාවක් අසාර්ථක වන අතර අනෙක් ඒවා ක්‍රියා කරන්නේ නම්, දෝෂය එම ගමනාන්තයේ ය. එම නිරීක්ෂණ දෙක වෙනස් හිමිකරුවන් වෙත යොමු කරයි, ඒවා මිශ්‍ර කිරීම කාලය නාස්ති කරයි.

WireGuard ද එම රේඛාවම අඳියි

WireGuard තම පිටත ශ්‍රවණකරු ListenPort ලෙස නම් කරයි, ඇතුළත යෙදුමක් තවමත් එයට අවශ්‍ය සේවා පෝට් භාවිතා කරයි. AllowedIPs යනු මාර්ගගත උපසර්ග කුලකයක් මිස අවසර ලත් සේවා පෝට් ලැයිස්තුවක් නොවේ. එය පෝට් අවසර ලැයිස්තුවක් ලෙස කියවීමෙන් ටනලය කරන දේට නොගැළපෙන නීති සෑදේ. නාමකරණය වෙනස් ය; ස්තරකරණය නොවේ.

සේවාව හෝස්ට් එකේම ක්‍රියාත්මක වන්නේ නම් දේශීය ආදාන ප්‍රතිපත්තියේ ද, එම හෝස්ට් පිටුපස තිබේ නම් යොමු කිරීමේ ප්‍රතිපත්තියේ ද අවසර දෙන්න. එම වෙනස තීරණය කරන්නේ කුමන නීති කුලකය පැකට්ටුව දකින්නේද යන්නයි.

සාමාන්‍ය හැඩය වන්නේ බොහෝ ඇතුළත සංවාද සහිත එක් පිටත ප්‍රවාහනයක් ය. පිටත හුවමාරු කිහිපයක් හෝ වෙනත් IP ප්‍රොටෝකෝලයක් අවශ්‍ය වන නිෂ්පාදන, එක් පොදු පෝට් රටාව මෙම නිර්මාණය විස්තර කරන බවත් සෑම VPN එකක්ම නොවන බවත් සිහිපත් කරයි.

අදාළ ලිපි