Port za UDP zisizobadilika zinaweza kuruka uelekezaji wa port, lakini si kila NAT

Rauta mbili za nyumbani, hakuna port iliyoelekezwa, na VPN ambayo wakati mwingine inaunganishwa hata hivyo. UDP inaruhusu hilo, kwa sababu ngome ya moto itakubali pakiti ambayo inaweza kuilinganisha na mtiririko ambao mashine tayari imeuanzisha. Hii ni hila yenye masharti, si kipengele, na masharti ni rahisi kutaja mara tu unapojua ngome ya moto inalinganisha nini. Ni sababu pia kwa nini profaili zinazofanana zinafanya tofauti kwenye mitandao tofauti.

Ulinganisho ambao ngome ya moto hufanya

Kila datagramu inayotoka huunda kumbukumbu ya muda mfupi: anwani ya chanzo, port ya chanzo, anwani ya lengo, port ya lengo. Kila kitu kinachofika na kuendana na kumbukumbu hiyo huchukuliwa kama jibu na huruhusiwa kupita. Sheria za ndani hazina nafasi yoyote katika hilo.

Kwa hiyo swali si kama ngome ya moto inamruhusu mwenzake kuingia. Ni kama pakiti ya mwenzake inaonekana kama jibu ambalo kumbukumbu inasubiri. Badilisha sehemu moja ya tuplo hiyo ya sehemu nne na pakiti inakuwa mgeni. Ndiyo sababu usanidi unaofanya kazi unaweza kuvunjika wakati nambari ya port pekee inabadilika, na ndiyo sababu port hiyo hiyo inaweza kufanya kazi kwenye rauta moja na kushindwa kwenye inayofuata.

Funga port ya chanzo ya ndani, na nambari hiyo hiyo itaonekana pande zote mbili za ubadilishanaji. Huo ndio utaratibu wote, na inaeleza kwa nini hila ni dhaifu na si ya kificho.

Kufunga port moja kila mwisho

Port ya UDP chaguo-msingi ya OpenVPN ni 1194, na lport huweka port ya chanzo inayotumia kutuma. Funga wenzake wote wawili na tuplo ya kutoka ya kila mmoja inaelekeza kwenye port ambayo mwingine anasikiliza:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Hii inafanya kazi tu maadamu hakuna rauta kati yao inayoandika upya port ya chanzo. Wakati pakiti zinaonekana kwenye nakuu lakini handaki haipanda, uandikaji upya ndiye mtuhumiwa wa kwanza.

Mahali tuplo inaacha kuendana

NAT inayopanga kwa lengo humpa kila mwenzake port ya nje tofauti. Anwani ambayo mwenzako aliambiwa aitumie si anwani inayomfikia, kwa hiyo pakiti inayoingia haiendani na kitu chochote na hutupwa kwa ukimya.

Tafsiri ya ngazi ya mwendeshaji, NAT iliyofungamana na ubadilishaji wa port ovyo zote huishia sawa. Hivyo pia sanduku lolote la kati linaloandika upya port na kuacha anwani.

Usafirishaji wa mtiririko uko mbaya zaidi. Ushirikiano wa TCP hufuatiliwa hatua kwa hatua, kwa hiyo VPN inayotegemea TCP haiwezi kutobolewa kabisa kwa njia hii na inahitaji msikilizaji mahali fulani njiani.

Kwa kawaida upande mmoja hushindwa kwanza

Kwa vitendo mitandao miwili hutenda sawa mara chache. Rauta moja inaweza kutoa upangaji unaotabirika wakati nyingine inatoa port kwa lengo, na matokeo ni usanidi unaofanya kazi kati ya nyumba mbili na kushindwa kutoka mtandao wa simu. Ripoti zinazopingana kwa kawaida zinaelezea jozi mbili tofauti za rauta. Hakuna mwandishi aliye makosa, na hakuna matokeo yanayoweza kujumlishwa.

Jua ni upande gani uliotupa pakiti kabla ya kugusa profaili. Nakuu za pande zote mbili huamua hilo kwa jaribio moja: datagramu zinazoondoka A na kamwe hazifiki B zina maana kwamba mtiririko uliandikwa upya njiani, wakati datagramu zinazofika B bila jibu lolote kurudi zina maana kwamba ngome ya moto haikuzikubali kama zinazohusiana.

Wenzake wawili wenye anwani za IPv6 za umma hukwepa tatizo lote. Bila tafsiri hakuna cha kulinganisha, kwa hiyo sheria ya ngome ya moto inayowataja wenzake inatosha na muundo unaacha kutegemea tabia ya rauta.

Wakati wa kuacha kujaribu

Mwenyeji aliye na anwani ya umma ndiyo jibu la kuaminika. Anaweza kumaliza handaki kwa wenzake wote wawili, au kuwasaidia tu kugundua anwani ya nje ya sasa ya mwenzake, na mipangilio yote miwili inafanya kazi vyovyote NAT zitakavyofanya. Tabaka la juu linalosimamiwa hutoa uratibu huo huo ikiwa sera inaruhusu.

Hakuna hata moja ya haya inayohitaji ngome ya moto iliyozimwa. Kuzima ulinzi ili kushinda muunganisho wa moja kwa moja hutupa sababu iliyofanya jaribio la moja kwa moja livutie, na huiacha mashine wazi kwa muda wote wa jaribio.

Jaribu mpangilio wa moja kwa moja kwanza, kisha andika ulichokiona. Tabia ya NAT na nakuu iliyoionyesha zina thamani zaidi kuliko jozi ya port uliyotumia mwishoni, kwa sababu mtandao unaofuata utakuwa tofauti. mwongozo wa OpenVPN 2.6 unaandika lport na chaguo za remote ambazo hii inategemea.