Sprožanje vrat proti posredovanju vrat za domači strežnik VPN
Sprožanje odpre preslikavo šele po odhodnem prometu; posredovanje preslika vrata trajno. Domači strežnik VPN potrebuje drugo, omejeno na dejanskega poslušalca.
Posredovanje vrat in sprožanje vrat sta v istem meniju na večini domačih usmerjevalnikov, zato ju obravnavajo kot dva načina za eno opravilo. Posredovanje je statično pravilo: dohodna povezava na vrata WAN se prevede v fiksni notranji naslov in vrata, ne glede na to, ali se dogaja še kaj. Sprožanje je pogojno: usmerjevalnik spremlja odhodni promet in odpre dohodno preslikavo šele po tem, ko odide ustrezna povezava. Strežnik VPN čaka, da se najprej poveže nekdo drug, zato je prav ta pogoj edina stvar, ki je nikoli ne more izpolniti.
Dve pravili z različnima življenjskima cikloma
NAT IPv4 je stanjski. Ko notranji gostitelj pošlje paket navzven, usmerjevalnik ustvari preslikavo, da odgovori najdejo pot nazaj; dohodni paket, ki se ne ujema z nobeno preslikavo, se zavrže, in prav to vedenje drži neposodobljen namizni računalnik zunaj interneta. Posredovanje je trajen vnos prevoda, dodan ročno. Sprožanje je začasna luknja, ki jo varuje vzorec prometa.
Praktična razlika je čas. Posredovanje obstaja od trenutka shranjevanja, dokler ga nekdo ne izbriše. Sprožena preslikava obstaja po sprožitvi in se zapre s časomerom nedejavnosti, merjenim v minutah na potrošniški strojni opremi, ali takoj ob ponovnem zagonu.
Nobeno ni bolj varno v abstraktnem smislu. Posredovanje izpostavi ena vrata neprekinjeno; sprožilo jih izpostavi šele po določenem odhodnem prometu. Za storitev, ki mora sprejeti prvi paket od neznanca, ustreza le eno od dveh.
Zakaj sprožanje ne bo objavilo strežnika
Strežnik VPN je po zasnovi pasiven. Nasprotna stran, naj bo to prenosnik v kavarni ali telefon na mobilnih podatkih, pošlje prvi paket, usmerjevalnik pa zanj nima preslikave. Nič znotraj ni začelo prometa na vrata sprožanja, zato pravilo nikoli ne deluje in povezava umre, preden se začne rokovanje.
Kjer se sprožanje zdi, da deluje, promet na vratih sprožanja ustvarja nekaj drugega: odjemalec v LAN, nadzorna sonda ali lastne odhodne preveritve strežnika. Takrat se preslikava odpre za tega enega gostitelja in zapre, ko se promet ustavi, zato naslednja zunanja stran spet ne uspe, medtem ko prvi uspeh sedi v dnevniku in je videti kot dokaz.
Sprožanje je običajno tudi za enega gostitelja. Mnoge izvedbe dovolijo, da preslikavo hkrati drži le ena notranja naprava, kar je popolnoma napačno za strežnik, ki mora odgovoriti več stranem. Funkcija je bila zgrajena za aplikacije, ki odpirajo krmilno povezavo navzven in pričakujejo dohodne podatke na drugih vratih, in še vedno ustreza tej obliki.
Kaj posredovanje v resnici preslika
Posredovanje je en vnos prevoda: vrata WAN in protokol v notranji naslov in vrata. Potrebuje poslušalca, ki že teče na drugem koncu, in potrebuje, da notranji naslov ostane na svojem mestu. Zakup DHCP, ki se preseli na drug stroj, tiho pošlje vsak tunel na napačnega gostitelja, zato ustvari rezervacijo pred pravilom.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
Protokol je pomembnejši, kot nakazuje obrazec. OpenVPN prek UDP potrebuje posredovanje UDP, WireGuard potrebuje UDP, podatki IPsec pa prihajajo kot ESP, protokol IP 50, ki sploh nima vrat. Obrazec za posredovanje, ki sprejema le TCP ali UDP, tega ne more izraziti, zato IPsec potrebuje passthrough ali statično preslikavo ena na ena namesto pravila za vrata.
Plast nad vašim usmerjevalnikom
Posredovanje nadzira le prevod, ki je vaš. Če naslov WAN ni vaš, kar je primer za NAT operaterja, kjer naročniki delijo 100.64.0.0/10, kot je opisano v RFC 6598, dohodna povezava nikoli ne doseže vašega usmerjevalnika, ker je ponudnik prevedel prvi. Nobeno pravilo na vaši napravi ne more popraviti tega vrstnega reda.
Dvojni NAT je ista težava v pomanjšanem merilu. Vaš usmerjevalnik posreduje usmerjevalniku ponudnika, ki nima ustreznega pravila in paket zavrže. Bodisi dodajte pravilo na zunanji napravi, bodisi zunanjo napravo postavite v način mostu in pustite svoji, da drži javni naslov.
Zato mora test priti od zunaj. Test iz istega LAN prek javnega naslova je odvisen od podpore hairpin NAT in lahko uspe ali ne uspe iz razlogov, ki niso povezani s pravilom; telefon na mobilnih podatkih ali prijatelj v drugem omrežju je čistejša preveritev.
Omejite pravilo, nato preverite obe polovici
Posredujte ena vrata na en naslov. Razpon, dodan zato, ker so prvi poskusi spodleteli, je pot, po kateri upravljalni vmesniki pridejo na internet, poslušalec VPN pa ne potrebuje zraven objavljene skrbniške strani usmerjevalnika.
Ohranite vse, kar je tega poslušalca že varovalo: identiteto s potrdilom ali ključem, požarni zid gostitelja, aktualne različice paketov. Posredovanje spusti paket noter; preverjanje pristnosti odloči, ali bo paket postal tunel, in to sta dve ločeni napaki, ko gre kaj narobe.
Preveritev ima dve polovici. Rokovanje se mora končati iz zunanjega omrežja, nato pa mora zasebni vir za strežnikom odgovoriti skozi tunel. Posredovanje spusti povezavo tunela noter in nič več; usmerjanje in avtorizacija za 10.8.0.0/24 sta druga nastavitev na drugem zaslonu.
Odločite se s tremi vprašanji
Tri vprašanja razrešijo izbiro hitreje kot katera koli primerjalna tabela:
- Se kaj poveže od zunaj kot prvi paket? Potem uporabite posredovanje ali rele. Sprožanje se ne more odpreti brez odhodnega prometa, ki ga ne bo nikoli.
- Mora luknja preživeti čas nedejavnosti? Potem uporabite posredovanje, ker se sprožena preslikava zapre po svojem urniku.
- Je naslov WAN vaš, da ga objavite? Če ni, popravite plast nad tem, preden uredite katero koli pravilo.
Če je odgovor na vsa tri ne, kar je primer prenosnika, ki sam kliče komercialnega ponudnika, ni potrebno nobeno od pravil. Odjemalec za NAT deluje, ker sam ustvari stanjsko preslikavo, in to pokriva večino ljudi, ki ob polnoči berejo stran o posredovanju vrat.