Portat fikse UDP mund të anashkalojnë përcjelljen e portave, por jo çdo NAT

Dy routerë shtëpiak, asnjë port i përçuar, dhe një VPN që ndonjëherë lidhet gjithsesi. UDP e lejon këtë, sepse një firewall do të pranojë një paketë që mund ta përputhë me një rrjedhë që makina tashmë e ka nisur. Është një truk i kushtëzuar, jo një veçori, dhe kushtet janë të lehta për t'u thënë kur e dini se çfarë krahason firewalls. Ato janë edhe arsyeja pse profile identike sillen ndryshe në rrjete të ndryshme.

Krahasimi që bën një firewall

Çdo datagramë dalëse krijon një zë të shkurtër: adresa burimore, porta burimore, adresa e destinacionit, porta e destinacionit. Çdo gjë që vjen dhe përputhet me zërin trajtohet si përgjigje dhe lihet të kalojë. Rregullat për trafikun hyrës nuk hyjnë në këtë.

Pra pyetja nuk është nëse firewalls e lë partnerin të hyjë. Është nëse paketa e partnerit duket si përgjigja që zëri po pret. Ndrysho një fushë të asaj katërsheje dhe paketa bëhet e huaj. Prandaj një konfigurim që funksionon mund të prishet kur ndryshon vetëm numri i portës, dhe prandaj e njëjta portë mund të funksionojë në një router dhe të dështojë në tjetrin.

Fikso portën burimore lokale, dhe i njëjti numër shfaqet në të dyja anët e shkëmbimit. Ky është i gjithë mekanizmi, dhe shpjegon pse truku është i brishtë dhe jo misterioz.

Fiksimi i një porte në çdo skaj

Porta UDP e parazgjedhur e OpenVPN është 1194, dhe lport cakton portën burimore nga e cila dërgon. Fikso të dy partnerët dhe katërsheja dalëse e secilit tregon një portë ku tjetri dëgjon:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Kjo funksionon vetëm për sa kohë asnjë router mes tyre nuk e rishkruan portën burimore. Kur paketat shfaqen në një kapje por asnjë tunel nuk ngrihet, rishkrimi është i dyshuari i parë.

Ku katërsheja ndalon së përputhuri

Një NAT që harton sipas destinacionit i jep secilit partner një portë të jashtme të ndryshme. Adresa që iu tha partnerit tuaj të përdorte nuk është adresa që i arrin, kështu që paketa hyrëse nuk përputhet me asgjë dhe hidhet në heshtje.

Përkthimi në nivel operatori, NAT i shtresuar dhe rastësimi i portave të gjitha përfundojnë njësoj. Po ashtu çdo kuti ndërmjetëse që rishkruan portat duke i lënë adresat në paqe.

Transportet e rrjedhës janë më keq. Një shtrëngim duarsh TCP ndiqet hap pas hapi, kështu që një VPN i bazuar në TCP nuk mund të shpohet fare në këtë mënyrë dhe ka nevojë për një dëgjues diku në rrugë.

Zakonisht njëra anë dështon e para

Në praktikë dy rrjetet rrallë sillen njësoj. Një router mund të japë një hartë të parashikueshme ndërsa tjetri jep porta sipas destinacionit, dhe rezultati është një konfigurim që funksionon mes dy shtëpive dhe dështon nga një rrjet celular. Raportet që kundërshtojnë njëri-tjetrin zakonisht përshkruajnë dy palë routerë të ndryshëm. Asnjë autor nuk gabon, dhe asnjë rezultat nuk përgjithësohet.

Zbulo cila anë e hodhi paketën përpara se të prekni profilet. Kapjet në të dy skajet e zgjidhin atë me një provë: datagramat që largohen nga A dhe nuk arrijnë kurrë B tregojnë se rrjedha u rishkrua në tranzit, ndërsa ato që arrijnë në B pa u kthyer asnjë përgjigje tregojnë se firewalls nuk i pranoi si të lidhura.

Dy partnerë me adresa IPv6 publike i shmangen të gjithë problemit. Pa përkthim nuk ka çfarë të përputhet, kështu që mjafton një rregull firewalls që i emërton partnerët dhe dizajni ndalon së varuri nga sjellja e routerit.

Kur të ndaloni së provuari

Një host me adresë publike është përgjigja e besueshme. Ai mund të përfundojë tunelin për të dy partnerët, ose thjesht t'i ndihmojë të zbulojnë adresën e jashtme aktuale të njëri-tjetrit, dhe të dyja rregullimet funksionojnë çfarëdo që bëjnë NAT-të. Një shtresë mbivendosjeje e menaxhuar ofron të njëjtin koordinim nëse politika e lejon.

Asnjëra prej tyre nuk ka nevojë për një firewall të çaktivizuar. Fikja e mbrojtjes për të fituar lidhjen e drejtpërdrejtë hedh poshtë arsyen pse përpjekja e drejtpërdrejtë ishte tërheqëse, dhe e lë makinën të hapur gjatë gjithë testit.

Provo së pari rregullimin e drejtpërdrejtë, pastaj shkruaj atë që pe. Sjellja e NAT dhe kapja që e tregoi vlejnë më shumë se çifti i portave që përdorët në fund, sepse rrjeti i radhës do të jetë i ndryshëm. manuali i OpenVPN 2.6 dokumenton lport dhe opsionet remote nga të cilat varet kjo.