Hal OpenVPN port, saddex adeeg: sababta portyada gudaha muhiim u yihiin

Hal fadhi SSH, hal barnaamij web iyo hal raadin magac ayaa wadaagi kara hal xiriir VPN iyagoon u tartamayn portyada. Macmiilku wuxuu dhistaa hal qulqul sir ah oo u socda gateway-ga, oo wada hadal kasta oo barnaamijku wuxuu ku socdaa gudihiisa. Dibadda waxaa muuqda kaliya gaadiidka tunnel-ka iyo portkiisa. Gudaha, adeeg kastaa wuxuu hayaa portkiisa oo wali wuxuu u baahan yahay ogolaanshihiisa.

Waxa qulqulka dibaddu qaado, iyo waxa uu qariyo

Macmiilku wuxuu ku duubaa packet kasta gaadiidka tunnel-ka ka hor inta uusan ka bixin mashiinka. Qulqulkaas dibadda wuxuu leeyahay hal port goosasho ah, oo la go'aamiyay markii VPN-ga la habeynayay. Gudaha duubista, packet kasta oo asal ah wuxuu hayaa cinwaanka iyo portka adeegga uu bartilmaameedsanayo. Gateway-gu wuxuu ka qaadaa duubista oo wuxuu maraa madaxa gudaha, sidaas darteed goosashadu waxay aragtaa macmiil caadi ah oo ka imanaya shabakadda.

Sidaas darteed qabasho ku taal interface-ka WAN waxay muujinaysaa hal wada hadal, ma aha saddex. Portyada gudaha waxay soo muuqdaan kaliya ka dib furfurista. Taasi waa sababta hal furitaan firewall uu isku mar qaadi karo SSH, HTTPS iyo DNS.

# WAN side: one outer tuple, whatever the inner services are
tcpdump -ni wan0 'udp port 443'
# tunnel side: the inner tuples appear after decapsulation
tcpdump -ni tun0

Dukumeentiga TUN/TAP wuxuu sharraxayaa gudbinta ay qalabka TUN ee la marayo ku gudbiyo packets IP u dhexeeya kernel-ka iyo geeddi-socodka booska isticmaalaha. Gudbintaas ayaa madaxa gudaha ka dhigta mid muuqda koodhka maridda iyo firewall-ka gateway-ga. Waxay kaloo sharraxaysaa sababta portka dibaddu aan waxba ka sheegin adeegyada la ogolyahay.

Gudbinta NAT waxaa iska leh dhegeystaha, ma aha barnaamijyada

Gateway is-hosti ah oo ka dambeeya NAT IPv4 wuxuu u baahan yahay hal tarjumaad soo-gal ah: cinwaanka iyo portka dadweynaha waxaa lagu khariidaystaa dhegeystaha VPN. Ma jiro qaanuun loo baahan yahay SSH, HTTPS ama DNS kaliya sababtoo ah isticmaalayaasha tunnel-ka ayaa gaadha. Daabacaadda portyadaas waxay muujin lahayd adeegyada tunnel-ku hore u ilaaliyo. Qaanuunka gudbintu wuxuu qeexayaa gaaritaanka dhegeystaha, ma aha ogolaansho wax gudaha ah.

Xaqiiqda lidkeeda ayaa sidoo kale run ah. Furitaanka portka tunnel-ka ma muujinayo wax kale, sidaas darteed adeeg lagu gaadhi karo kaliya tunnel-ka ayaa dushiisa dadweynaha u xidhan. Kala-soociddaas ayaa badanaa sababta adeegga loo hayo si gaar ah.

Siyaasadda gudaha waa halka gelitaanka dhab ahaan lagu go'aamiyo

Sir-celinta waxay ilaalisaa wadada; ma ogolaanayso goosasho. Marinnada macmiilku waxay doortaan prefixes-ka gelaya tunnel-ka, siyaasadda gudbinta gateway-gu waxay go'aamisaa in packets-ku ka bixi karaan, firewall-ka goosashada iyo gelitaanku waxay go'aamiyaan in adeeggu jawaabo. DNS waa kiiska ugu cad: qaadista weydiimaha ma ka dhigto resolver mid ka aqbala ururka macmiilkaaga. Lakab kastaa si madax-bannaan ayuu u dhihi karaa maya.

Tijaabi adeeg kasta si gooni ah tunnel-ka dhexdiisa. Raadin guulaysatay waxba kama sheegto portka web, codsi web guulaystay waxba kama sheegto SSH.

dig @10.40.0.53 app.corp.example
nc -vz 10.40.0.10 8443
ssh -p 2222 [email protected]

Marka tunnel-ku shaqaynayo oo wax walba guuldarraystaan, marka hore akhri shaxda marinnada macmiilka. Marka hal adeeg guuldarraysto halka kuwa kale shaqeeyaan, cilladdu waxay ku taal goosashadaas. Labadaas aragtida waxay tilmaamayaan milkiilayaal kala duwan, isku-darkooduna waa waqti lumis.

WireGuard isla khadkaas ayuu sawiraa

WireGuard wuxuu dhegeystaha dibadda ugu magac daray ListenPort, barnaamijka gudahana wali wuxuu isticmaalaa portka adeegga uu u baahan yahay. AllowedIPs waa ururin prefixes la maro, ma aha liis portyada adeegga la ogolyahay. Akhrinta liis ogolaansho port ahaan waxay soo saartaa qaanuunno aan la jaanqaadin waxa tunnel-ku qabto. Magac-dhiska waa ka duwan yahay; lakabayntu ma aha.

U ogolow adeegga siyaasadda gelinta maxalliga ah marka uu ku shaqeeyo host-ka laftiisa, ama siyaasadda gudbinta marka uu ka dambeeyo host-kaas. Farqigaas ayaa go'aamiya qaanuunka kee ayaa packet-ka arka.

Qaabka guud waa hal gaadiid dibadda ah oo leh wada hadallo gudaha badan. Alaabta u baahan dhowr is-dhaafsi dibadda ah, ama borotokool IP kale, waxay xasuusinayaan in qaabka hal-port dadweyne uu qeexayo naqshaddan oo aanay ahayn VPN kasta.