Cilat porta VPN të hapen në një firewall: protokoll pas protokolli

Dy rregulla të veçanta vendosin nëse një tunel VPN i mbijeton një firewalle: porta që thërret klienti dhe protokolli që mban ngarkesën. Hap vetëm të parën dhe tuneli autentikohet, por pastaj nuk lëviz asnjë e dhënë. Minimumi është një port TCP plus GRE për PPTP, dy porta UDP plus ESP për L2TP/IPsec dhe IKEv2, dhe një port i vetëm për SSTP, OpenVPN dhe WireGuard. Drejtimi, ndjekja e gjendjes dhe NAT vendosin pjesën tjetër.

Filloni nga porta që thërret klienti

Secila familje ka një pikë hyrjeje që klienti e kontakton i pari, dhe pikërisht ajo pikë hyrjeje duhet të emërtohet nga rregulli juaj i lejimit. Klientët PPTP lidhen me TCP 1723. L2TP/IPsec nis IKE në UDP 500 dhe kalon në UDP 4500 kur përdoret kalimi përmes NAT, ndërsa vetë korniza L2TP është në UDP 1701 brenda tunelit. SSTP e mbështjell sesionin në TLS në TCP 443, IKEv2 negocion në UDP 500 dhe 4500, OpenVPN si parazgjedhje përdor UDP 1194 por shpesh zhvendoset në TCP 443, dhe WireGuard dëgjon në UDP 51820.

Trajtojini këta numra si vlera të parazgjedhura dhe jo si veti fikse. Një ndërfaqe WireGuard përdor çdo portë dëgjimi që deklaron konfigurimi i saj, dhe një server OpenVPN mund të qëndrojë në çdo portë që ka zgjedhur administratori. Lexoni konfigurimin e serverit përpara se të shkruani rregullin, sepse një firewall i hapur për 1194 nuk bën asgjë për një server të zhvendosur në 443.

Kolona e tretë është vendi ku shumica e tiketave të ndryshimit shkojnë keq. Rregulli ekziston, por tregon destinacionin e gabuar, drejtimin e gabuar ose transportin e gabuar.

GRE dhe ESP janë numra protokolli, jo porta

GRE dhe ESP nuk kanë fare porta, prandaj një formular firewalle që pranon vetëm numra portash nuk mund t'i shprehë ato. GRE është protokolli IP 47 dhe ESP është protokolli IP 50, të dy përputhen përmes fushës së protokollit në kokën IP. Një rregull i shkruar si portë TCP 47 nuk përputhet me asgjë, dhe kështu një politikë PPTP duket e saktë dhe megjithatë i hedh poshtë të gjitha paketat pas shtrëngimit të duarve.

E fshehin këtë routerat e konsumatorit pas një kutie kontrolli kalimi që instalon rregullin e protokollit dhe, për GRE, ndihmësin NAT të nevojshëm për të hartuar rrjedhën. Në një firewall të vërtetë protokollin e shtoni vetë: lejoni protokollin IP 47 drejt serverit PPTP, lejoni protokollin IP 50 drejt portës IPsec. Aty ku platforma nuk ofron fushë protokolli, zgjidhja është inkapsulimi, prandaj IKEv2 mund të bjerë përsëri në UDP 4500 dhe prandaj OpenVPN e WireGuard nuk e hasin kurrë problemin.

Kontrolloni me çfarë përputhet vërtet rregulli përpara se të fajësoni klientin. Një numërues paketash që mbetet në zero në portë thotë që rregulli nuk u aktivizua kurrë, dhe asnjë sasi riinstalimi nga ana e klientit nuk e ndryshon këtë.

Drejtimi, gjendja dhe NAT ndryshojnë përgjigjen

Një klient që thërret nga jashtë dhe një portë që dëgjon nga brenda janë kërkesa të ndryshme, dhe e njëjta listë portash mund të jetë e saktë në një drejtim dhe e gabuar në tjetrin. Një firewall me gjendje ndjek rrjedhën UDP në 500 dhe 4500 dhe lejon përgjigjet të kthehen pa një rregull të dytë. ESP dhe GRE nuk mbajnë porta, prandaj një pajisje NAT nuk ka ku të kapet dhe ka nevojë për një ndihmës ose një inkapsulim për të ndjekur sesionin.

Kalimi përmes NAT është pjesa që harrohet. IKEv2 nis në UDP 500, zbulon një pajisje NAT dhe vazhdon në UDP 4500, prandaj një politikë që lejon vetëm 500 jep një tunel që ngrihet dhe pastaj hesht. L2TP/IPsec bën të njëjtin lëvizje. Nëse kapja juaj tregon shkëmbimin e parë por jo trafik të vazhdueshëm, kërkoni një rregull që ndalon në 500.

Shënoni drejtimin me çdo rregull. «Lejo UDP 4500» nuk do të thotë asgjë derisa të thoni nga ku në ku, dhe një rregull i saktë për një klient në lëvizje zakonisht është i gabuar për një palë sajt-me-sajt.

Kontrolloni çdo rrugë me një kapje

Ekzekutoni kapjen në portë, jo në klient: klienti regjistron vetëm atë që mbërriti. Këto filtra mbulojnë familjet më lart dhe tregojnë cila fazë mungon:

sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50

Lexoni daljen si një sekuencë. Kur negocimi shfaqet por protokolli i ngarkesës jo, hedhja ndodh diku midis klientit dhe portës. Kur shfaqen të dyja dhe faqja ende dështon, firewalle nuk është më i dyshuari; shikoni rrugëtimin, DNS ose grupin e adresave që iu dha klientit.

Në një makinë pa tcpdump të njëjtat prova vijnë nga numëruesit e ndërfaqes dhe të rregullave. Bajtët hyjnë por nuk dalin në ndërfaqen e tunelit — kjo tregon rrugën e kthimit dhe jo rregullin fillestar të lejimit.

Lini një grup rregullash që mund t'i mbroni

SSTP në TCP 443 nuk dallohet nga një HTTPS i zakonshëm për asnjë filtër të bazuar në porta, dhe ky është qëllimi kur një rrjet lejon vetëm trafik web. Kjo është edhe arsyeja pse rregulli për 443 duhet të emërtojë portën si destinacion dhe jo të gjithë internetin. Fshini rregullat e përkohshme nga-kushdo-në-këdo sapo tuneli të funksionojë. Shkruani cili rregull përputhej, numrin e protokollit ku ka dhe drejtimin, që personi tjetër të nisë nga provat.

Portat cloud nga pika në sajt e bëjnë zgjedhjen të dukshme: profili i shkarkuar përdor ose SSTP në 443 ose IKEv2 në 500 dhe 4500, dhe duhet të hapni vetëm atë që zgjedh vërtet profili. PPTP nuk ia vlen përjashtimi GRE në një rrjet modern, pasi operatorët celularë shpesh e hedhin protokollin 47 pavarësisht firewallit tuaj. Përpara se të mbyllni tiketën, konfirmoni që rregulli përputhet me portën në konfigurimin e serverit, që fusha e protokollit është vendosur aty ku familja ka nevojë dhe që destinacioni është porta dhe jo një adresë çfarëdo.