Nxitja e porteve kundër përcjelljes së porteve për një server VPN shtëpiak
Nxitja hap një hartëzim pas trafikut në dalje; përcjellja e hartëzon portën përgjithmonë. Një server VPN shtëpiak ka nevojë për të dytën, e kufizuar te dëgjuesi i vërtetë.
Përcjellja e porteve dhe nxitja e porteve ndodhen në të njëjtin menu në shumicën e ruterave shtëpiakë, prandaj trajtohen si dy mënyra për të bërë një punë të vetme. Përcjellja është rregull statik: një lidhje hyrëse drejt një porte WAN përkthehet në një adresë dhe një portë të brendshme fikse, pavarësisht nëse ndodh diçka tjetër. Nxitja është e kushtëzuar: ruteri vëzhgon trafikun në dalje dhe hap një hartëzim hyrës vetëm pasi del një lidhje që përputhet. Një server VPN pret që dikush tjetër të lidhet i pari, prandaj pikërisht ai kusht është e vetmja gjë që nuk mund ta plotësojë kurrë.
Dy rregulla me cikle jete të ndryshme
NAT i IPv4 është me gjendje. Kur një host i brendshëm dërgon një paketë jashtë, ruteri krijon një hartëzim që përgjigjet të gjejnë rrugën e kthimit; një paketë hyrëse që nuk përputhet me asnjë hartëzim hidhet, dhe pikërisht kjo sjellje mban një desktop të papërditësuar jashtë internetit. Përcjellja është një zë përkthimi i përhershëm i shtuar me dorë. Nxitja është një vrimë e përkohshme e ruajtur nga një model trafiku.
Dallimi praktik është koha. Një përcjellje ekziston nga momenti i ruajtjes derisa dikush ta fshijë. Një hartëzim i nxitur ekziston pasi nxitësi aktivizohet dhe mbyllet me një kohëmatës papunësie, i matur në minuta në harduerin e konsumit, ose menjëherë në rindezje.
Asnjëra nuk është më e sigurt në kuptimin abstrakt. Përcjellja ekspozon një portë vazhdimisht; nxitësi e ekspozon atë vetëm pas një trafiku të caktuar në dalje. Për një shërbim që duhet të pranojë paketën e parë nga një i panjohur, vetëm njëra nga të dyja i përshtatet punës.
Pse nxitja nuk do të publikojë një server
Një server VPN është pasiv për nga ndërtimi. Pala tjetër, qoftë një laptop në kafe apo një telefon në të dhëna celulare, dërgon paketën e parë, dhe ruteri nuk ka asnjë hartëzim për të. Asgjë brenda nuk ka nisur trafik drejt portës së nxitjes, prandaj rregulli nuk aktivizohet kurrë dhe lidhja vdes përpara se të fillojë shtrëngimi i duarve.
Aty ku nxitja duket se funksionon, diçka tjetër gjeneron trafik në portën e nxitjes: një klient në LAN, një sondë monitorimi ose kontrollet e vetë serverit në dalje. Atëherë hartëzimi hapet për atë host të vetëm dhe mbyllet kur trafiku ndalon, prandaj pala tjetër e jashtme dështon përsëri, ndërsa suksesi i parë qëndron në regjistër dhe duket si provë.
Nxitja zakonisht është edhe për një host të vetëm. Shumë implementime lejojnë që vetëm një pajisje e brendshme ta mbajë hartëzimin në një kohë, gjë që është pikërisht e gabuar për një server që duhet t'u përgjigjet disa palëve. Funksioni u ndërtua për aplikacione që hapin një lidhje kontrolli në dalje dhe presin të dhëna hyrëse në një portë të dytë, dhe ende përshtatet me atë formë.
Çfarë hartëzon në të vërtetë një përcjellje
Një përcjellje është një zë i vetëm përkthimi: porta dhe protokolli WAN drejt adresës dhe portës së brendshme. I duhet një dëgjues që tashmë po punon në skajin tjetër, dhe i duhet që adresa e brendshme të mbetet në vendin e vet. Një qira DHCP që kalon në një makinë tjetër dërgon çdo tunel te hosti i gabuar, në heshtje, prandaj krijo rezervimin përpara rregullit.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
Protokolli ka më shumë rëndësi sesa sugjeron formulari. OpenVPN mbi UDP ka nevojë për një përcjellje UDP, WireGuard ka nevojë për UDP, dhe të dhënat e IPsec vijnë si ESP, protokolli IP 50, i cili nuk ka fare porta. Një formular përcjelljeje që pranon vetëm TCP ose UDP nuk mund ta shprehë këtë, prandaj IPsec ka nevojë për passthrough ose një hartëzim statik një-me-një në vend të një rregulli porte.
Shtresa mbi ruterin tuaj
Një përcjellje kontrollon vetëm përkthimin që është i juaji. Nëse adresa WAN nuk është e juaja, çka është rasti pas NAT-it të operatorit ku abonentët ndajnë 100.64.0.0/10 siç përshkruhet në RFC 6598, lidhja hyrëse nuk arrin kurrë te ruteri juaj sepse ofruesi e përktheu i pari. Asnjë rregull në pajisjen tuaj nuk mund ta rregullojë atë rend.
NAT i dyfishtë është i njëjti problem në miniaturë. Ruteri juaj përcjell te ruteri i ISP-së, i cili nuk ka asnjë rregull që përputhet dhe e hedh paketën. Ose shtoni rregullin në pajisjen e jashtme, ose vendosni pajisjen e jashtme në modalitetin urë dhe lërini tuajën të mbajë adresën publike.
Prandaj testi duhet të vijë nga jashtë. Një test nga i njëjti LAN përmes adresës publike varet nga mbështetja e hairpin NAT dhe mund të kalojë ose të dështojë për arsye që nuk lidhen me rregullin; një telefon në të dhëna celulare, ose një mik në një rrjet tjetër, është kontrolli më i pastër.
Kufizoni rregullin, më pas verifikoni të dyja gjysmat
Përcillni një portë te një adresë. Një interval i shtuar sepse përpjekjet e para dështuan është rruga se si ndërfaqet e menaxhimit përfundojnë në internet, dhe dëgjuesi i VPN-së nuk ka nevojë për faqen e administrimit të ruterit të publikuar pranë.
Mbani gjithçka që e mbronte tashmë atë dëgjues: identitetin me certifikatë ose çelës, firewall-in e hostit, versionet aktuale të paketave. Përcjellja lë një paketë të hyjë; vërtetimi vendos nëse paketa bëhet tunel, dhe këto janë dy dështime të ndara kur diçka shkon keq.
Verifikimi ka dy gjysma. Shtrëngimi i duarve duhet të përfundojë nga një rrjet i jashtëm, dhe pastaj një burim privat pas serverit duhet të përgjigjet përmes tunelit. Përcjellja pranon lidhjen e tunelit dhe asgjë më shumë; rrugëtimi dhe autorizimi për 10.8.0.0/24 janë një cilësim tjetër në një ekran tjetër.
Vendosni me tre pyetje
Tre pyetje e zgjidhin zgjedhjen më shpejt se çdo tabelë krahasimi:
- A lidhet diçka nga jashtë si paketa e parë? Atëherë përdorni përcjellje, ose një rele. Nxitja nuk mund të hapet pa trafik në dalje që nuk do të ekzistojë kurrë.
- A duhet vrima t'i mbijetojë kohës së papunësisë? Atëherë përdorni përcjellje, sepse një hartëzim i nxitur mbyllet sipas kalendarit të vet.
- A është adresa WAN e juaja për t'u publikuar? Nëse jo, rregulloni shtresën sipër përpara se të redaktoni çdo rregull.
Nëse përgjigjja për të treja është jo, çka është rasti i një laptopi që telefonon vetë një ofrues komercial, nuk nevojitet asnjë nga të dy rregullat. Një klient pas NAT-it funksionon sepse e krijon vetë hartëzimin me gjendje, dhe kjo mbulon shumicën e njerëzve që lexojnë një faqe për përcjelljen e porteve në mesnatë.