Bandari moja ya OpenVPN, huduma tatu: kwa nini bandari za ndani ni muhimu

Kikao kimoja cha SSH, programu moja ya wavuti na utafutaji mmoja wa jina vinaweza kushiriki muunganisho mmoja wa VPN bila kugombania bandari. Mteja hujenga mtiririko mmoja uliosimbwa kuelekea lango, na kila mazungumzo ya programu husafiri ndani yake. Nje, ni usafirishaji na bandari ya handaki yenyewe tu vinavyoonekana. Ndani, kila huduma huhifadhi bandari yake na bado inahitaji ruhusa yake.

Mtiririko wa nje hubeba nini, na huficha nini

Mteja hufunga kila kifurushi katika usafirishaji wa handaki kabla ya kuondoka kwenye mashine. Mtiririko huo wa nje una bandari moja ya lengo, iliyowekwa wakati VPN iliposanidiwa. Ndani ya kifuniko, kila kifurushi asili huhifadhi anwani na bandari ya huduma inayolengwa. Lango huondoa kifuniko na kuelekeza kwa kichwa cha ndani, hivyo lengo huona mteja wa kawaida anayefika kutoka mtandao.

Kwa hivyo kunasa kwenye kiolesura cha WAN kunaonyesha mazungumzo moja, si matatu. Bandari za ndani huonekana tu baada ya kufungua kifuniko. Ndiyo sababu ufunguzi mmoja wa ngome unaweza kubeba SSH, HTTPS na DNS kwa wakati mmoja.

# WAN side: one outer tuple, whatever the inner services are
tcpdump -ni wan0 'udp port 443'
# tunnel side: the inner tuples appear after decapsulation
tcpdump -ni tun0

Nyaraka za TUN/TAP zinaeleza makabidhiano ambapo kifaa cha TUN kilichoelekezwa hupitisha vifurushi vya IP kati ya kerneli na mchakato wa nafasi ya mtumiaji. Makabidhiano hayo ndiyo yanayofanya kichwa cha ndani kionekane kwa msimbo wa uelekezaji na ngome wa lango. Pia inaeleza kwa nini bandari ya nje haisemi chochote kuhusu huduma zinazoruhusiwa.

Uelekezaji wa NAT ni mali ya kisikilizaji, si programu

Lango linalojihudumia lenyewe nyuma ya NAT ya IPv4 linahitaji tafsiri moja ya kuingia: anwani na bandari za umma huwekwa kwenye kisikilizaji cha VPN. Hakuna kanuni inayohitajika kwa SSH, HTTPS au DNS kwa sababu tu watumiaji wa handaki wanazifikia. Kuchapisha bandari hizo kungeweka wazi huduma ambazo handaki tayari hulinda. Kanuni ya uelekezaji inaeleza ufikivu wa kisikilizaji, si ruhusa kwa kitu chochote ndani.

Kinyume chake pia ni kweli. Kufungua bandari ya handaki hakuweki kitu kingine wazi, hivyo huduma inayofikika kwa handaki pekee huweka uso wake wa umma umefungwa. Utengano huo kwa kawaida ndio sababu ya kuweka huduma kuwa ya faragha.

Sera ya ndani ndipo ufikiaji huamuliwa kwa kweli

Usimbaji fiche hulinda njia; haulidhishi lengo. Njia za mteja huchagua ni viambishi vipi vinaingia handakini, sera ya uelekezaji wa lango huamua kama vifurushi vinaweza kutoka, na ngome pamoja na kuingia kwa lengo huamua kama huduma itajibu. DNS ndiyo kisa kilicho wazi zaidi: kubeba maswali hakufanyi kisuluhishi kikubali kutoka kwenye bwawa lako la wateja. Kila tabaka linaweza kusema hapana kwa kujitegemea.

Jaribu kila huduma peke yake kupitia handaki. Utafutaji uliofaulu hausemi chochote kuhusu bandari ya wavuti, na ombi la wavuti lililofaulu halisemi chochote kuhusu SSH.

dig @10.40.0.53 app.corp.example
nc -vz 10.40.0.10 8443
ssh -p 2222 [email protected]

Handaki linapofanya kazi na kila kitu kinashindikana, soma kwanza jedwali la njia la mteja. Huduma moja inaposhindikana wakati nyingine zinafanya kazi, hitilafu iko kwenye lengo hilo. Maangalizi hayo mawili yanaelekeza kwa wamiliki tofauti, na kuyachanganya kunapoteza muda.

WireGuard huchora mstari huo huo

WireGuard huita kisikilizaji chake cha nje ListenPort, na programu ya ndani bado hutumia bandari ya huduma inayohitaji. AllowedIPs ni seti ya viambishi vilivyoelekezwa, si orodha ya bandari za huduma zinazoruhusiwa. Kuisoma kama orodha ya ruhusa za bandari huzalisha kanuni zisizolingana na kile handaki hufanya. Utambulisho ni tofauti; utabakaji si tofauti.

Ruhusu huduma katika sera ya pembejeo ya ndani inapofanya kazi kwenye kifaa chenyewe, au katika sera ya uelekezaji inapokuwa nyuma ya kifaa hicho. Tofauti hiyo huamua seti ipi ya kanuni inaona kifurushi.

Umbo la jumla ni usafirishaji mmoja wa nje wenye mazungumzo mengi ya ndani. Bidhaa zinazohitaji mabadilishano kadhaa ya nje, au itifaki nyingine ya IP, hukumbusha kwamba muundo wa bandari moja ya umma unaeleza muundo huu na si kila VPN.