VPN උපජාලයකට පෝර්ට් යොමු කිරීමේදී SNAT යෙදිය යුතුද?

රවුටරයේම VPN සේවාලාභියා පිටුපස සිටින සත්කාරකයකට පෝර්ට් යොමු කිරීම, ඉල්ලීම පැහැදිලිව ලැබෙන නමුත් ගිනිපවුරු ගැටලුවක් මෙන් පෙනෙන ආකාරයෙන් අසාර්ථක වේ. සේවාව සම්බන්ධතාවක් සටහන් කරයි, සේවාලාභියා රැඳී සිටියි, කිසිවක් ආපසු නොපැමිණේ. ගමනාන්ත පරිවර්තනය තම කාර්යය කළේය; ආපසු පැකට්ටුව යනු නැති වූ කොටසයි. රවුටරයේ එක් තෝරාගත් මූල-NAT නියමයක් මෙය නිවැරදි කරයි, සහ සිත්ගන්නා කොටස වන්නේ එම නියමය කෙතරම් පටු විය හැකි ද යන්න තීරණය කිරීමයි.

පිළිතුර වෙනත් මාර්ගයක් ගන්නේ ඇයි

පෝර්ට් යොමු කිරීම පැකට්ටුවක් යන තැන නැවත ලියයි, එය පැමිණි තැන කිසිවිටෙක ලියන්නේ නැත. අන්තර්ජාල සේවාලාභියාගේ ලිපිනය මුළු උමං මාර්ගයේම මූල ක්ෂේත්‍රයේ රැඳී ඇත, එබැවින් දුරස්ථ සේවාව අමුත්තෙකු දැක පවතින එකම ක්‍රමයෙන් පිළිතුරු දෙයි: එහිම පෙරනිමි ද්වාරය හරහා. එම ද්වාරය අනෙක් පසෙහි VPN සාන්ද්‍රකයයි, එයට අත්තනෝමතික පොදු ලිපිනයකට ආපසු මාර්ගයක් නැත.

උමං අතුරුමුහුණතේ ග්‍රහණයක් බලන්න, අසමමිතිය පැහැදිලිය: ඉල්ලීම් පැකට්ටු පිටතට, ඇතුළට කිසිවක් නැත. යොමු දාමය ප්‍රවාහයට ඉඩ දුන් අතර උමං එය රැගෙන ගියේය, එබැවින් බැහැර කිරීම සිදුවන්නේ දුරස්ථ සත්කාරකය දැනටමත් ආපසු මාර්ගයක් තෝරාගෙන පසුවය.

විශ්වාස කළ හැකි තරම් පටු මූල නියමයක්

දුරස්ථ සත්කාරකය පිළිතුරු දෙන මූලය රවුටරය බවට පත් කරන්න. මෙම සැකැස්මේදී WAN ලිපිනය 203.0.113.24 වේ, LAN යනු 192.168.88.0/24 වේ, රවුටරයේ උමං ලිපිනය 172.20.5.1 වේ, සහ සේවාව 172.20.5.40:8443 ලෙස පිළිතුරු දෙයි. පහත නියමය ගමනාන්ත පරිවර්තනයෙන් පසු පැකට්ටුවට ගැළපේ, එබැවින් එය පොදු ලිපිනය වෙනුවට පරිවර්තිත ලිපිනය නම් කරයි. එහි කිසිවක් සේවාලාභියාගේ ලිපිනය මත රඳා නොපවතී, සහ එයම තමයි කරුණ.

iptables -t nat -A POSTROUTING -o tun0 -p tcp -d 172.20.5.40 --dport 8443 -j SNAT --to-source 172.20.5.1

එම පේළියේ සෑම ගැළපීමක්ම ඇත්තේ නැවත ලිවීම එක් උමං මාර්ගයක එක් සේවාවකට පමණක් සීමා කිරීමටය. අතුරුමුහුණත හෝ පෝර්ටය ඉවත් කරන්න, එවිට ගැටලුවට අවශ්‍ය ප්‍රමාණයට වඩා වැඩි රථවාහන නැවත ලියයි, එසේ ඉලක්කගත නිවැරදි කිරීම ඊළඟ පුද්ගලයාට අභිරහසක් බවට පත් වේ.

සර්වව්‍යාපී වෙස්මුහුණ අවංක තේරීම වන්නේ කවදාද

රවුටරය එකම VPN උපජාලයට සේවා බොහෝමයක් යොමු කරන්නේ නම්, එක් සේවාවකට එක් නියමයක් කිසිවෙකු නඩත්තු නොකරන ලැයිස්තුවක් බවට පත් වේ. උමං අතුරුමුහුණතින් පිටවන සියල්ල වෙස් කිරීම සරල හා අනාවැකි කළ හැකි ය, එහි මිල වන්නේ මුල් සේවාලාභියා අනෙක් පසෙහි සෑම සත්කාරකයකින්ම සැඟවීමයි. එහි ලොග් ආරෝපණයට භාවිත නොකරන්නේ නම් එය තෝරන්න; භාවිත කරන්නේ නම් පටු නියමය තබා ගන්න.

විකල්ප දෙකම වෙනස් ආකාරයෙන් අසාර්ථක වේ. නැති වූ පටු නියමය එක් සේවාවක් බිඳ දමයි; වැඩිපුර ගැළපෙන පුළුල් වෙස්මුහුණක් දැනටමත් ක්‍රියා කරමින් තිබූ රථවාහන නිහඬව නැවත ලිවිය හැක, රවුටරයේම පිටවන සම්බන්ධතා ඇතුළුව.

ප්‍රකාශයට පත් කිරීමට පෙර ගණන්කාරක පරීක්ෂා කරන්න

කිසිවිටෙක නොගැළපෙන නියම පැකට්ටු ගණන් කරන තෙක් ක්‍රියා කරන නියම මෙන් පෙනේ. කිසිදු සේවාලාභියෙකු සම්බන්ධ වීමට පෙර බයිට් ගණන්කාරක සමඟ වගුව නැවත කියවන්න, පසුව LAN නොවන ජාලයකින් සම්බන්ධ වී නැවත කියවන්න. අනුමානයක් කරුණක් බවට පත් කරන්නේ එම කියවීම් දෙකයි. දෙවැන්න චලනය වූ පසුව පමණක් යොමුව ප්‍රකාශයට පත් කරන්න.

iptables -t nat -L POSTROUTING -v -n --line-numbers

සැබෑ සම්බන්ධතාවකින් පසු මූල නියමයේ ශුන්‍ය ගණන්කාරකයක් යනු ගැළපීම වැරදි බවයි, සාමාන්‍යයෙන් ගමනාන්තය හෝ පෝර්ටය පරිවර්තනයෙන් පසු පැකට්ටුවට නොගැළපෙන නිසා. ගණන්කාරකය ඉහළ යන නමුත් සේවාලාභියා තවමත් කාලය ඉක්මවා යන්නේ නම්, ආපසු මාර්ගය සකසා ඇති අතර වෙනත් දෙයක් පිළිතුර ඉවත් කරයි, එබැවින් ඊළඟට අනෙක් පසෙහි යොමු ප්‍රතිපත්තිය බලන්න. LAN ඇතුළතින් හෙයර්පින් ප්‍රවේශය වෙනම ගැටලුවක් වන අතර එයට තමන්ගේම නියමයක් අවශ්‍යයි, මෙයේ පුළුල් අනුවාදයක් නොවේ.