නිවසේ VPN සර්වරය සඳහා පෝට් ට්‍රිගරින් එදිරියට පෝට් ෆෝවර්ඩින්
ට්‍රිගරින් පිටතට යන ට්‍රැෆික් පසුව සිතියමක් විවෘත කරයි; ෆෝවර්ඩින් පෝටය ස්ථිරව සිතියම් කරයි. නිවසේ VPN සර්වරයට දෙවැන්න අවශ්‍ය වන අතර, සැබෑ ශ්‍රාවකයාට සීමා කරයි.
බොහෝ නිවාස රවුටරවල පෝට් ෆෝවර්ඩින් සහ පෝට් ට්‍රිගරින් එකම මෙනුවේ ඇත, එබැවින් ඒවා එකම කාර්යයක් කිරීමට මාර්ග දෙකක් ලෙස සැලකේ. ෆෝවර්ඩින් යනු ස්ථිතික නීතියකි: WAN පෝටයකට පැමිණෙන ඇතුළත සම්බන්ධතාවය ස්ථිර අභ්‍යන්තර ලිපිනයකට සහ පෝටයකට පරිවර්තනය වේ, වෙනත් දෙයක් සිදු වුවත් නොවුවත්. ට්‍රිගරින් කොන්දේසි සහගතය: රවුටරය පිටතට යන ට්‍රැෆික් නිරීක්ෂණය කරන අතර ගැළපෙන සම්බන්ධතාවයක් පිටතට ගිය පසුව පමණක් ඇතුළත සිතියමක් විවෘත කරයි. VPN සර්වරය වෙනත් කෙනෙකු පළමුව සම්බන්ධ වන තෙක් රැඳී සිටී, එබැවින් එම කොන්දේසියම එය කිසිදා ඉටු කළ නොහැකි එකම දෙයයි.
වෙනස් ජීවන චක්‍ර සහිත නීති දෙකක්
IPv4 NAT තත්ත්වය තබා ගනී. අභ්‍යන්තර සත්කාරකයක් පැකට්ටුවක් පිටතට යවන විට, පිළිතුරු නැවත මාර්ගය සොයා ගැනීමට රවුටරය සිතියමක් සාදයි; කිසිදු සිතියමකට නොගැළපෙන ඇතුළත පැකට්ටුව ඉවත් කරනු ලැබේ, සහ මෙම හැසිරීම යාවත්කාලීන නොකළ ඩෙස්ක්ටොප් පරිගණකයක් අන්තර්ජාලයෙන් පිටත තබයි. ෆෝවර්ඩින් යනු අතින් එකතු කරන ස්ථිර පරිවර්තන ඇතුළත් කිරීමකි. ට්‍රිගරින් යනු ට්‍රැෆික් රටාවක් මගින් ආරක්ෂා කරන තාවකාලික සිදුරකි.
ප්‍රායෝගික වෙනස වේලාවයි. ෆෝවර්ඩින් සුරැකී මොහොතේ සිට යමෙකු එය මකන තෙක් පවතී. ට්‍රිගර් වූ සිතියමක් ට්‍රිගරය ක්‍රියාත්මක වූ පසු පවතින අතර නිෂ්ක්‍රීය කාල සටහනකින් වැසේ, පාරිභෝගික දෘඩාංගවල මිනිත්තු වලින් මනිනු ලැබේ, නැතහොත් නැවත ඇරඹීමේදී වහාම.
වියුක්තව කිසිවක් වඩාත් ආරක්ෂිත නොවේ. ෆෝවර්ඩින් එක් පෝටයක් නිරන්තරයෙන් නිරාවරණය කරයි; ට්‍රිගරය එය නිශ්චිත පිටතට යන ට්‍රැෆික් පසුව පමණක් නිරාවරණය කරයි. අමුත්තෙකුගෙන් පළමු පැකට්ටුව පිළිගත යුතු සේවාවකට, දෙකෙන් එකක් පමණක් කාර්යයට ගැළපේ.
ට්‍රිගරින් සර්වරයක් ප්‍රකාශ නොකරන්නේ ඇයි
VPN සර්වරය සැලසුම අනුවම නිෂ්ක්‍රීයය. අනෙක් පැත්ත, කැෆේ එකේ ලැප්ටොප් එකක් හෝ ජංගම දත්තවල ෆෝනයක් වුවත්, පළමු පැකට්ටුව යවයි, රවුටරයට ඒ සඳහා කිසිදු සිතියමක් නැත. ඇතුළතින් කිසිවක් ට්‍රිගර් පෝටයට ට්‍රැෆික් ආරම්භ නොකළ නිසා නීතිය කිසිදා ක්‍රියාත්මක නොවන අතර සම්බන්ධතාවය අත්දැකීම ආරම්භ වීමට පෙර මිය යයි.
ට්‍රිගරින් වැඩ කරන බව පෙනෙන තැන, ට්‍රිගර් පෝටයේ ට්‍රැෆික් ජනනය කරන්නේ වෙනත් දෙයකි: LAN එකේ සේවාදායකයෙක්, නිරීක්ෂණ පරීක්ෂකයක්, නැතහොත් සර්වරයේම පිටතට යන පරීක්ෂණ. එවිට සිතියම එක් සත්කාරකයකට විවෘත වී ට්‍රැෆික් නතර වූ විට වැසෙයි, එබැවින් ඊළඟ බාහිර පැත්ත නැවත අසාර්ථක වන අතර පළමු සාර්ථකත්වය ලොගයේ සාක්ෂියක් මෙන් නිදා සිටී.
ට්‍රිගරින් සාමාන්‍යයෙන් එක් සත්කාරකයකට ද වේ. බොහෝ ක්‍රියාත්මක කිරීම් එක් වේලාවක එක් අභ්‍යන්තර උපාංගයකට පමණක් සිතියම තබා ගැනීමට ඉඩ දෙයි, එය පැති කිහිපයකට පිළිතුරු දිය යුතු සර්වරයකට සම්පූර්ණයෙන්ම වැරදිය. මෙම විශේෂාංගය නිර්මාණය කළේ පිටතට පාලන සම්බන්ධතාවයක් විවෘත කර දෙවන පෝටයේ ඇතුළත දත්ත බලාපොරොත්තු වන යෙදුම් සඳහා ය, සහ එය තවමත් එම හැඩයට ගැළපේ.
ෆෝවර්ඩින් සැබවින්ම සිතියම් කරන්නේ කුමක්ද
ෆෝවර්ඩින් යනු එක් පරිවර්තන ඇතුළත් කිරීමකි: WAN පෝටය සහ ප්‍රොටොකෝලය අභ්‍යන්තර ලිපිනයට සහ පෝටයට. එයට අනෙක් කෙළවරේ දැනටමත් ක්‍රියාත්මක වන ශ්‍රාවකයෙක් අවශ්‍ය වන අතර අභ්‍යන්තර ලිපිනය එහි තැනම රැඳී සිටීම අවශ්‍යයි. වෙනත් යන්ත්‍රයකට මාරු වන DHCP බද්දක් සෑම උමං මාර්ගයක්ම වැරදි සත්කාරකයට නිශ්ශබ්දව යවයි, එබැවින් නීතියට පෙර වෙන් කිරීම සාදන්න.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
ප්‍රොටොකෝලය පෝරමය යෝජනා කරන ප්‍රමාණයට වඩා වැදගත් ය. UDP මත OpenVPN ට UDP ෆෝවර්ඩින් අවශ්‍යයි, WireGuard ට UDP අවශ්‍යයි, සහ IPsec දත්ත ESP ලෙස, IP ප්‍රොටොකෝලය 50 ලෙස පැමිණේ, එයට පෝට කිසිසේත් නැත. TCP හෝ UDP පමණක් පිළිගන්නා ෆෝවර්ඩින් පෝරමයකට එය ප්‍රකාශ කළ නොහැක, එබැවින් IPsec ට පෝට් නීතිය වෙනුවට passthrough හෝ ස්ථිතික එකට-එක සිතියමක් අවශ්‍යයි.
ඔබේ රවුටරයට ඉහළින් ඇති ස්ථරය
ෆෝවර්ඩින් පාලනය කරන්නේ ඔබට අයත් පරිවර්තනය පමණි. WAN ලිපිනය ඔබේ නොවේ නම්, එය වාහක ශ්‍රේණියේ NAT පිටුපස ඇති තත්ත්වය වන අතර, ග්‍රාහකයින් RFC 6598 හි විස්තර කර ඇති පරිදි 100.64.0.0/10 බෙදා ගනී, ඇතුළත සම්බන්ධතාවය කිසිදා ඔබේ රවුටරයට නොපැමිණේ, මන්ද සැපයුම්කරු පළමුව පරිවර්තනය කළ බැවිනි. ඔබේ උපාංගයේ කිසිදු නීතියකට එම අනුපිළිවෙල නිවැරදි කළ නොහැක.
ද්විත්ව NAT යනු කුඩා පරිමාණයෙන් එම ගැටලුවයි. ඔබේ රවුටරය ISP රවුටරයට ෆෝවර්ඩ් කරයි, එයට ගැළපෙන නීතියක් නැති අතර එය පැකට්ටුව ඉවත් කරයි. එක්කෝ බාහිර උපාංගයේ නීතිය එකතු කරන්න, නැතහොත් බාහිර උපාංගය පාලම් මාදිලියට දමා ඔබේ උපාංගයට පොදු ලිපිනය තබා ගැනීමට ඉඩ දෙන්න.
එබැවින් පරීක්ෂණය පිටතින් පැමිණිය යුතුය. එකම LAN එකේ සිට පොදු ලිපිනය හරහා කරන පරීක්ෂණය hairpin NAT සහාය මත රඳා පවතින අතර නීතියට සම්බන්ධ නොවන හේතූන් නිසා සාර්ථක හෝ අසාර්ථක විය හැක; ජංගම දත්තවල ෆෝනයක්, නැතහොත් වෙනත් ජාලයක මිතුරෙක්, වඩාත් පිරිසිදු පරීක්ෂාවයි.
නීතිය සීමා කරන්න, පසුව දෙකොටසම තහවුරු කරන්න
එක් පෝටයක් එක් ලිපිනයකට ෆෝවර්ඩ් කරන්න. පළමු උත්සාහ අසාර්ථක වූ නිසා එකතු කළ පරාසය, කළමනාකරණ අතුරුමුහුණත් අන්තර්ජාලයට පැමිණෙන මාර්ගයයි, සහ VPN ශ්‍රාවකයාට එහි පැත්තේ රවුටරයේ පරිපාලක පිටුව ප්‍රකාශයට පත් කිරීම අවශ්‍ය නොවේ.
එම ශ්‍රාවකයා දැනටමත් ආරක්ෂා කළ සියල්ල රඳවා ගන්න: සහතිකය හෝ යතුර මගින් අනන්‍යතාවය, සත්කාරක ගිනි තාප්පය, වත්මන් පැකේජ අනුවාද. ෆෝවර්ඩින් පැකට්ටුවක් ඇතුළට ඉඩ දෙයි; සත්‍යාපනය තීරණය කරන්නේ පැකට්ටුව උමං මාර්ගයක් වේද නැද්ද යන්නයි, යමක් වැරදුන විට ඒවා වෙනස් අසාර්ථකතා දෙකකි.
තහවුරු කිරීමට කොටස් දෙකක් ඇත. අත්දැකීම බාහිර ජාලයකින් සම්පූර්ණ විය යුතුය, පසුව සර්වරය පිටුපස ඇති පෞද්ගලික සම්පතක් උමං මාර්ගය හරහා පිළිතුරු දිය යුතුය. ෆෝවර්ඩින් උමං සම්බන්ධතාවය ඇතුළට ඉඩ දෙයි, ඊට වඩා නොවේ; 10.8.0.0/24 සඳහා මාර්ගගත කිරීම සහ අවසරය වෙනත් තිරයක වෙනත් සැකසුමකි.
ප්‍රශ්න තුනකින් තීරණය කරන්න
ප්‍රශ්න තුනක් ඕනෑම සංසන්දනා වගුවකට වඩා ඉක්මනින් තේරීම තීරණය කරයි:
- පිටතින් යමක් පළමු පැකට්ටුව ලෙස සම්බන්ධ වේද? එසේ නම් ෆෝවර්ඩින් හෝ රිලේ එකක් භාවිත කරන්න. කිසිදා නොපවතින පිටතට යන ට්‍රැෆික් නොමැතිව ට්‍රිගරින් විවෘත කළ නොහැක.
- සිදුර නිෂ්ක්‍රීය කාලයට වඩා ජීවත් විය යුතුද? එසේ නම් ෆෝවර්ඩින් භාවිත කරන්න, මන්ද ට්‍රිගර් වූ සිතියම එහිම කාලසටහනට අනුව වැසේ.
- WAN ලිපිනය ප්‍රකාශයට පත් කිරීමට ඔබේද? නොවේ නම්, ඕනෑම නීතියක් සංස්කරණය කිරීමට පෙර ඉහළ ස්ථරය නිවැරදි කරන්න.
තුනටම පිළිතුරු නොවේ නම්, එය වාණිජ සැපයුම්කරුවෙකුට තමාම ඇමතුම් ගන්නා ලැප්ටොප් එකක අවස්ථාවයි, නීති දෙකෙන් එකක්වත් අවශ්‍ය නොවේ. NAT පිටුපස සේවාදායකයා ක්‍රියා කරන්නේ එය තත්ත්ව-ධාරක සිතියම තමාම සාදන බැවිනි, සහ එය මධ්‍යම රාත්‍රියේ පෝට් ෆෝවර්ඩින් පිටුවක් කියවන බොහෝ දෙනා ආවරණය කරයි.