Portayada VPN ee laga furto firewall: borotokool borotokool

Laba sharci oo kala duwan ayaa go'aamiya in tunnel VPN uu ka gudbo firewall: port-ka uu macmiilku wacayo iyo borotokoolka qaada culayska. Fur kaliya kan koowaad oo tunnel-ka wuu xaqiijinayaa, laakiin ka dib xog ma dhaqaaqdo. Ugu yaraan waa hal port TCP iyo GRE PPTP, laba port UDP iyo ESP L2TP/IPsec iyo IKEv2, iyo hal port SSTP, OpenVPN iyo WireGuard. Jihada, la-socodka xaaladda iyo NAT ayaa go'aamiya inta kale.

Ka bilow port-ka uu macmiilku wacayo

Qoys kastaa wuxuu leeyahay hal barta laga galo oo macmiilku marka hore la xiriiro, waana bartaas oo sharcigaaga ogolaanshaha waa inuu magacaabaa. Macmiiliinta PPTP waxay ku xirmaan TCP 1723. L2TP/IPsec wuxuu IKE ku bilaabaa UDP 500 oo u gudbaa UDP 4500 marka la isticmaalo gudbinta NAT, halka qaabka L2TP laftiisu uu ku jiro UDP 1701 gudaha tunnel-ka. SSTP waxay sessiyada ku duubtaa TLS ku TCP 443, IKEv2 waxay ka wada hadashaa UDP 500 iyo 4500, OpenVPN waxay caadi ahaan isticmaashaa UDP 1194 laakiin inta badan loo raraa TCP 443, WireGuardna waxay dhageysataa UDP 51820.

U qaado tirooyinkan sida qiimayaal caadi ah ee ma aha sifooyin go'an. Interface WireGuard wuxuu isticmaalaa port kasta oo dhageysi ah oo ay ku qoran tahay habayntiisa, server OpenVPN-na wuxuu fadhiisan karaa port kasta oo maamuluhu doortay. Akhri habaynta server-ka ka hor inta aadan qorin sharciga, maxaa yeelay firewall loo furay 1194 waxba kama qabto server loo raray 443.

Tiirka saddexaad waa halka ay badi tigidhada isbeddelku ku khaldamaan. Sharcigu wuu jiraa, laakiin wuxuu tilmaamaa meel khaldan, jiha khaldan ama gaadiid khaldan.

GRE iyo ESP waa lambarrada borotokoolka, ma aha port-o

GRE iyo ESP gabi ahaan ma laha port-o, sidaas darteed foomka firewall ee kaliya aqbala lambarrada port-ka ma sheegi karo. GRE waa borotokoolka IP 47, ESP waa borotokoolka IP 50, labadaba waxaa lagu barbardhigaa goobta borotokoolka ee madaxa IP. Sharciga loo qoray port TCP 47 wax kuma habboona, sidaasna siyaasadda PPTP waxay u muuqataa mid sax ah welina tuurtaa kasta packet gacan-qaadka ka dib.

Router-rada macaamiisha waxay tan ku qariyaan sanduuqa gudbinta oo rakiba sharciga borotokoolka iyo, GRE, kaaliyaha NAT ee loo baahan yahay in lagu sawiro qulqulka. Firewall dhab ah waxaad ku darsataa borotokoolka laftaada: ogolow borotokoolka IP 47 server-ka PPTP, ogolow borotokoolka IP 50 gateway IPsec. Meesha aaladda aysan bixinin goob borotokool, encapsulation waa lixaadka, taas darteed IKEv2 wuu ku noqon karaa UDP 4500 iyo taas darteed OpenVPN iyo WireGuard waligood kuma dhacaan dhibaatadan.

Hubi waxa sharcigu dhab ahaan la habboonaanayo ka hor inta aadan macmiilka eedayn. Mildhowrka baakadaha ee gateway-ga eber ku sii jiraa wuxuu sheegayaa in sharcigu waligiis aanu shaqayn, oo dib-u-rakibid kasta oo dhinaca macmiilka ah ma beddelo taas.

Jihada, xaaladda iyo NAT waxay beddelaan jawaabta

Macmiil dibadda wacaya iyo gateway gudaha dhageysanaya waa shuruudo kala duwan, liiska port-ka isku mid ahna wuu saxnaan karaa hal jiha oo khaldana jihada kale. Firewall xaaladda yaqaan wuxuu la socdaa qulqulka UDP 500 iyo 4500 oo wuxuu u oggolaadaa jawaabaha inay ku noqdaan iyada oo aan sharciga labaad lahayn. ESP iyo GRE ma qaadaan port-o, sidaas darteed aaladda NAT waxba ma haysato oo waxay u baahan tahay kaaliye ama encapsulation si ay ula socoto fadhiga.

Gudbinta NAT waa qaybta la seegto. IKEv2 wuxuu ka bilaabmaa UDP 500, wuu gartaa aaladda NAT oo ku sii socdaa UDP 4500, sidaas darteed siyaasad kaliya 500 ogolaanaysa waxay bixisaa tunnel is dhiso oo haddana aamuso. L2TP/IPsec sidoo kale wuu sameeyaa. Haddii duubistaadu muujiso is-weydaarsiga koowaad laakiin ma muujiso socod joogto ah, raadi sharciga 500 ku joogsada.

La qor jihada sharciga kasta. «Oggolow UDP 4500» waxba macne ma leh ilaa aad sheegto halka laga bilaabo iyo halka loo socdo, sharciga saxan macmiilka socdaana caadi ahaan wuu khaldan yahay saaxiibka goob-ilaa-goob.

Hubi waddo kasta duubis

Duubista ku socodsii gateway-ga, ma aha macmiilka: macmiilku wuxuu diiwaangeliyaa kaliya wixii yimid. Filterradan waxay daboolaan qoysaska kore oo waxay muujinayaan tallaabada maqan:

sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50

Akhri wax-soo-saarka sida taxane. Marka wada-hadalku muuqdo laakiin borotokoolka culaysku uusan muuqan, tuurista waxay dhacdaa meel u dhaxaysa macmiilka iyo gateway-ga. Marka labaduba muuqdaan oo boggu weli guuldarraysan yahay, firewall-ku mar dambe ma aha tuhmanaha; eeg marin-u-helidda, DNS ama barkada ciwaannada ee macmiilka la siiyay.

Mashiin aan tcpdump lahayn, isla caddayntaas waxay ka timaaddaa mildhowrrada interface-ka iyo sharciga. Baaytiyada soo gala laakiin aan ka soo bixin interface-ka tunnel-ka waxay tilmaamayaan waddada soo-noqodka ee ma aha sharciga ogolaanshaha bilowga.

Ka tag sharcad fariimaha aad difaaci karto

SSTP ku TCP 443 lama kala sooci karo HTTPS caadi ah filter kasta oo port-ku salaysan, waana taas ujeeddada marka shabakaddu ogolaato kaliya gaadiidka web-ka. Taas darteed sharciga 443 waa inuu magacaabaa gateway-ga bartilmaameed ahaan halkii internetka oo dhan. Tirtir sharciyada ku meel gaadhka ah ee wax-kasta-ilaa-wax-kasta isla marka tunnel-ku shaqeeyo. Qor sharciga ku habboonaa, lambarka borotokoolka meesha uu jiro, iyo jihada, si qofka xiga uu caddaynta ka bilaabo.

Gateway-yada cloud-ka ee dhibic-ilaa-goob waxay doorashada ka dhigaan mid muuqata: profile-ka la soo dejiyay wuxuu isticmaalaa SSTP 443 ama IKEv2 500 iyo 4500, waa inaad furtaa kaliya kan profile-ku dhab ahaan doorto. PPTP ma mudan iska-dhaafista GRE shabakad casri ah, maadaama shirkadaha mobilka ay inta badan tuuraan borotokoolka 47 iyada oo aan eegin firewall-kaaga. Ka hor inta aadan xidhin tigidhka, xaqiiji in sharcigu la jaanqaado port-ka ku jira habaynta server-ka, in goobta borotokoolka lagu dhigay meesha qoysku u baahan yahay, iyo in bartilmaameedku yahay gateway-ga ee ma aha ciwaan kasta.