ෆයර්වෝලයක් මත කුමන VPN පෝට් විවෘත කළ යුතුද: ප්රොටෝකෝලය අනුව
PPTP සඳහා TCP 1723 සහ GRE අවශ්ය වේ, L2TP/IPsec සඳහා UDP 500 සහ 4500 මෙන්ම ESP අවශ්ය වේ, SSTP, OpenVPN සහ WireGuard එක් එක් පෝට් එකක් අවශ්ය වේ. විවෘත කළ යුතු දේ මෙහි ඇත.
VPN ටනලයක් ෆයර්වෝලයක් හරහා යයිද යන්න තීරණය කරන වෙනස් නීති දෙකක් ඇත: සේවාලාභියා අමතන පෝට් එක සහ භාරය ගෙනයන ප්රොටෝකෝලය. පළමුවැන්න පමණක් විවෘත කළහොත් ටනලය සත්යාපනය වේ, නමුත් පසුව දත්ත ගමන් නොකරයි. අවමය PPTP සඳහා TCP පෝට් එකක් සහ GRE, L2TP/IPsec සහ IKEv2 සඳහා UDP පෝට් දෙකක් සහ ESP, සහ SSTP, OpenVPN සහ WireGuard සඳහා එක් පෝට් එකක් වේ. දිශාව, තත්ත්ව නිරීක්ෂණය සහ NAT ඉතිරිය තීරණය කරයි.
සේවාලාභියා අමතන පෝට් එකෙන් ආරම්භ කරන්න
සෑම පවුලකටම සේවාලාභියා පළමුව සම්බන්ධ වන පිවිසුම් ලක්ෂ්යයක් ඇත, ඔබේ අවසර නීතිය එම පිවිසුම් ලක්ෂ්යය නම් කළ යුතුය. PPTP සේවාලාභීන් TCP 1723 වෙත සම්බන්ධ වේ. L2TP/IPsec UDP 500 මත IKE ආරම්භ කර NAT තරණය භාවිත වූ විට UDP 4500 වෙත යයි, L2TP රාමුවම ටනලය තුළ UDP 1701 මත පවතී. SSTP සැසිය TCP 443 මත TLS තුළ ඔතයි, IKEv2 UDP 500 සහ 4500 මත සාකච්ඡා කරයි, OpenVPN පෙරනිමියෙන් UDP 1194 භාවිත කරයි නමුත් බොහෝ විට TCP 443 වෙත ගෙන යයි, සහ WireGuard UDP 51820 මත සවන් දෙයි.
| Family | Rule to add on the gateway | Typical mistake |
|---|---|---|
| WireGuard | UDP port from ListenPort, for the peer address | Assuming 51820 when the config says otherwise |
| OpenVPN | The configured UDP or TCP port, often 443 | Opening 1194 after the server moved |
| SSTP | TCP 443 limited to the gateway IP | Allowing 443 to any destination |
| IKEv2 | UDP 500 and UDP 4500, plus ESP | Allowing only 500 and losing NAT-T |
| L2TP/IPsec | UDP 500, 4500, ESP, and 1701 inside the tunnel | Exposing 1701 to the internet |
| PPTP | TCP 1723 and IP protocol 47 | Writing a rule for TCP 47 |
මෙම සංඛ්යා නියත ගුණාංග නොව පෙරනිමි අගයන් ලෙස සලකන්න. WireGuard අතුරුමුහුණත එහි වින්යාසය ප්රකාශ කරන ඕනෑම සවන්දීමේ පෝට් එකක් භාවිත කරයි, OpenVPN සේවාදායකය පරිපාලකයා තෝරාගත් ඕනෑම පෝට් එකක් මත සිටිය හැක. නීතිය ලිවීමට පෙර සේවාදායක වින්යාසය කියවන්න, මන්ද 1194 සඳහා විවෘත කළ ෆයර්වෝලය 443 වෙත ගෙන ගිය සේවාදායකයට කිසිවක් නොකරයි.
තෙවන තීරුව යනු බොහෝ වෙනස්කම් ටිකට්පත් වැරදි යන තැනය. නීතිය පවතී, නමුත් එය වැරදි ගමනාන්තයකට, වැරදි දිශාවකට හෝ වැරදි ප්රවාහනයකට යොමු කරයි.
GRE සහ ESP ප්රොටෝකෝල අංක වේ, පෝට් නොවේ
GRE සහ ESP සඳහා පෝට් නොමැත, එබැවින් පෝට් අංක පමණක් පිළිගන්නා ෆයර්වෝල පෝරමයකට ඒවා ප්රකාශ කළ නොහැක. GRE යනු IP ප්රොටෝකෝල 47 වන අතර ESP යනු IP ප්රොටෝකෝල 50 වේ, දෙකම IP ශීර්ෂයේ ප්රොටෝකෝල ක්ෂේත්රය මගින් ගැලපේ. TCP පෝට් 47 ලෙස ලියූ නීතියක් කිසිවකට නොගැලපේ, එසේ නම් PPTP ප්රතිපත්තිය නිවැරදි ලෙස පෙනෙන නමුත් අත් වැල් බැඳීමෙන් පසු සෑම පැකට්ටුවක්ම ඉවතට විසි කරයි.
පාරිභෝගික රවුටර මෙය පසුකාරක සලකුණු කොටුවක් පිටුපස සඟවා, ප්රොටෝකෝල නීතිය ස්ථාපනය කරයි, GRE සඳහා ප්රවාහය සිතියම් කිරීමට අවශ්ය NAT සහායකය ද ස්ථාපනය කරයි. සැබෑ ෆයර්වෝලයක ඔබම ප්රොටෝකෝලය එකතු කරයි: PPTP සේවාදායකය වෙත IP ප්රොටෝකෝල 47 අවසර දෙන්න, IPsec ගේට්වේ වෙත IP ප්රොටෝකෝල 50 අවසර දෙන්න. වේදිකාව ප්රොටෝකෝල ක්ෂේත්රයක් නොදෙන විට, එන්කැප්සියුලේෂන් මග වේ, එබැවින් IKEv2 UDP 4500 වෙත ආපසු යා හැකි අතර එබැවින් OpenVPN සහ WireGuard මෙම ගැටලුවට කිසිදා නොපැමිණේ.
සේවාලාභියාට දොස් පැවරීමට පෙර නීතිය ඇත්තෙන්ම කිසිවකට ගැලපෙන්නේ දැයි පරීක්ෂා කරන්න. ගේට්වේ මත ශුන්යයේ රැඳී ඇති පැකට් ගණනකය නීතිය කිසිදා ක්රියාත්මක නොවූ බව පවසයි, සේවාලාභී පැත්තේ කොපමණ වාරයක් නැවත ස්ථාපනය කළත් එය වෙනස් නොවේ.
දිශාව, තත්ත්වය සහ NAT පිළිතුර වෙනස් කරයි
පිටතට අමතන සේවාලාභියා සහ ඇතුළට සවන් දෙන ගේට්වේ වෙනස් අවශ්යතා වන අතර, එකම පෝට් ලැයිස්තුව එක් දිශාවකට නිවැරදි වී අනෙකට වැරදි විය හැක. තත්ත්වය දන්නා ෆයර්වෝලය 500 සහ 4500 මත UDP ප්රවාහය නිරීක්ෂණය කර දෙවන නීතියක් නොමැතිව පිළිතුරු ආපසු යාමට ඉඩ දෙයි. ESP සහ GRE පෝට් ගෙනයන්නේ නැත, එබැවින් NAT උපාංගයට අල්ලා ගැනීමට කිසිවක් නැති අතර සැසිය අනුගමනය කිරීමට සහායකයක් හෝ එන්කැප්සියුලේෂනයක් අවශ්ය වේ.
NAT තරණය යනු අතපසු වන කොටසය. IKEv2 UDP 500 මත ආරම්භ වී NAT උපාංගය හඳුනාගෙන UDP 4500 මත ඉදිරියට යයි, එබැවින් 500 පමණක් අවසර දෙන ප්රතිපත්තියක් ස්ථාපිත වී පසුව නිහඬ වන ටනලයක් ලබා දෙයි. L2TP/IPsec ද එම චලනය කරයි. ඔබේ ග්රහණය පළමු හුවමාරුව පෙන්වා නිරන්තර ගමනාගමනය නොපෙන්වන්නේ නම්, 500 මත නතර වන නීතියක් සොයන්න.
සෑම නීතියක් සමඟ දිශාව සටහන් කරන්න. «UDP 4500 අවසර දෙන්න» කොහෙන් කොහෙටද යන්න පැවසීමට පෙර කිසිවක් අදහස් නොකරයි, ගමන් කරන සේවාලාභියාට නිවැරදි නීතිය සාමාන්යයෙන් අඩවි-සිට-අඩවි සහකරුට වැරදිය.
සෑම මාර්ගයක්ම ග්රහණයකින් පරීක්ෂා කරන්න
ග්රහණය සේවාලාභියා මත නොව ගේට්වේ මත ධාවනය කරන්න: සේවාලාභියා පැමිණි දේ පමණක් සටහන් කරයි. මෙම පෙරහන් ඉහත පවුල් ආවරණය කර කුමන අදියර අතපසු වී ඇත්දැයි පෙන්වයි:
sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50ප්රතිදානය අනුක්රමයක් ලෙස කියවන්න. සාකච්ඡාව දිස්වන නමුත් භාර ප්රොටෝකෝලය නොදිස්වන විට, වැටීම සේවාලාභියා සහ ගේට්වේ අතර කොහේ හෝ සිදු වේ. දෙකම දිස්වන නමුත් පිටුව තවමත් අසාර්ථක වන විට, ෆයර්වෝලය තවදුරටත් සැකකරු නොවේ; මාර්ගගත කිරීම, DNS හෝ සේවාලාභියාට දුන් ලිපින තටාකය දෙස බලන්න.
tcpdump නොමැති යන්ත්රයක එම සාක්ෂි අතුරුමුහුණත සහ නීති ගණනකවලින් ලැබේ. ටනල අතුරුමුහුණත මත බයිට ඇතුළට එන නමුත් පිටතට නොයන විට, එය මුල් අවසර නීතියට නොව ආපසු මාර්ගයට යොමු කරයි.
ඔබට ආරක්ෂා කළ හැකි නීති කට්ටලයක් ඉතිරි කරන්න
TCP 443 මත SSTP පෝට් පාදක ඕනෑම පෙරහනකට සාමාන්ය HTTPS වෙන් වෙන් කර හඳුනාගත නොහැක, ජාලයක් වෙබ් ගමනාගමනයට පමණක් අවසර දෙන විට එයයි අරමුණ. එබැවින් 443 නීතිය මුළු අන්තර්ජාලය වෙනුවට ගේට්වේ ගමනාන්තය ලෙස නම් කළ යුතුය. ටනලය ක්රියා කළ වහාම තාවකාලික ඕනෑම-දෙයකට-ඕනෑම-දෙයක් නීති මකන්න. කුමන නීතිය ගැලපුණිද, ඇති තැන ප්රොටෝකෝල අංකය, සහ දිශාව ලියන්න, ඊළඟ පුද්ගලයා සාක්ෂියෙන් ආරම්භ කරන පිණිස.
ක්ලවුඩ් ලක්ෂ්ය-සිට-අඩවි ගේට්වේ තේරීම දෘශ්ය කරයි: බාගත කළ පැතිකඩ 443 මත SSTP හෝ 500 සහ 4500 මත IKEv2 භාවිත කරයි, පැතිකඩ ඇත්තෙන්ම තෝරන එක පමණක් විවෘත කළ යුතුය. නවීන ජාලයක PPTP සඳහා GRE ව්යතිරේකය වටින්නේ නැත, මන්ද ජංගම ක්රියාකරුවන් ඔබේ ෆයර්වෝලය නොසලකා ප්රොටෝකෝල 47 බොහෝ විට ඉවතට විසි කරයි. ටිකට්පත වැසීමට පෙර නීතිය සේවාදායක වින්යාසයේ පෝට් එකට ගැලපේද, ප්රොටෝකෝල ක්ෂේත්රය පවුලට අවශ්ය තැන සකසා ඇත්ද, සහ ගමනාන්තය ඕනෑම ලිපිනයක් නොව ගේට්වේ බව තහවුරු කරන්න.