Kuanzisha mlango dhidi ya kusambaza mlango kwa seva ya VPN ya nyumbani

Kusambaza mlango na kuanzisha mlango ziko kwenye menyu moja kwenye ruta nyingi za nyumbani, ndiyo sababu huchukuliwa kama njia mbili za kufanya kazi moja. Kusambaza ni kanuni tuli: muunganisho unaoingia kwenye mlango wa WAN hutafsiriwa kwenda anwani na mlango wa ndani usiobadilika, iwe kuna jambo jingine linaendelea au la. Kuanzisha kuna masharti: ruta hufuatilia trafiki ya kutoka na hufungua ramani ya kuingia tu baada ya muunganisho unaolingana kutoka. Seva ya VPN husubiri mtu mwingine aunganishe kwanza, hivyo sharti hilo ndilo kitu kimoja tu ambacho haiwezi kamwe kulitimiza.

Kanuni mbili zenye mizunguko tofauti ya maisha

IPv4 NAT huhifadhi hali. Mwenyeji wa ndani anapotuma pakiti nje, ruta huunda ramani ili majibu yapate njia ya kurudi; pakiti inayoingia isiyolingana na ramani yoyote hutupwa, na tabia hii ndiyo inayoiweka desktop isiyosasishwa nje ya intaneti. Kusambaza ni ingizo la tafsiri la kudumu linaloongezwa kwa mkono. Kuanzisha ni shimo la muda linalolindwa na muundo wa trafiki.

Tofauti ya kivitendo ni muda. Kusambaza kuwepo tangu kuhifadhiwa hadi mtu kuifuta. Ramani iliyoanzishwa huwepo baada ya kichocheo kufanya kazi na hufungwa kwa kipima muda cha kutokuwa na shughuli, kinachopimwa kwa dakika kwenye maunzi ya watumiaji, au mara moja wakati wa kuwasha upya.

Hakuna kimoja kilicho salama zaidi kwa maana ya dhahania. Kusambaza huweka mlango mmoja wazi mfululizo; kichocheo huuweka wazi tu baada ya trafiki fulani ya kutoka. Kwa huduma inayolazimika kupokea pakiti ya kwanza kutoka kwa mgeni, kimoja tu kati ya hivyo viwili hulingana na kazi.

Kwa nini kuanzisha hakutachapisha seva

Seva ya VPN ni tulivu kwa muundo wake. Mwenzake, awe kompyuta ya mkononi kwenye mkahawa au simu kwenye data ya simu, hutuma pakiti ya kwanza, na ruta haina ramani yake. Hakuna kitu ndani kilichoanza trafiki kwenda mlango wa kichocheo, hivyo kanuni haiwashi kamwe na muunganisho hufa kabla ya kupeana mkono kuanza.

Mahali ambapo kuanzisha kunaonekana kufanya kazi, kitu kingine huzalisha trafiki kwenye mlango wa kichocheo: mteja kwenye LAN, kichunguzi cha ufuatiliaji, au ukaguzi wa kutoka wa seva yenyewe. Kisha ramani hufungukia mwenyeji huyo mmoja tu na hufungwa trafiki inapokoma, hivyo mwenza wa nje anayefuata hushindwa tena huku mafanikio ya kwanza yakikaa kwenye kumbukumbu na kuonekana kama uthibitisho.

Kuanzisha kwa kawaida pia ni kwa mwenyeji mmoja. Utekelezaji mwingi huruhusu kifaa kimoja cha ndani tu kushikilia ramani kwa wakati mmoja, jambo ambalo si sahihi kabisa kwa seva inayopaswa kujibu pande kadhaa. Kipengele hiki kilijengwa kwa programu zinazofungua muunganisho wa udhibiti nje na kutarajia data inayoingia kwenye mlango wa pili, na bado kinalingana na umbo hilo.

Kusambaza kwa kweli kunaweka ramani ya nini

Kusambaza ni ingizo moja la tafsiri: mlango na itifaki ya WAN kwenda anwani na mlango wa ndani. Inahitaji msikilizaji anayekwisha kufanya kazi upande wa pili, na inahitaji anwani ya ndani ibaki mahali pake. Ukodishaji wa DHCP unaohamia mashine nyingine hutuma kila handaki kwa mwenyeji asiye sahihi, kwa kimya, hivyo tengeneza uhifadhi kabla ya kanuni.

Itifaki ni muhimu zaidi kuliko inavyodokeza fomu. OpenVPN juu ya UDP inahitaji usambazaji wa UDP, WireGuard inahitaji UDP, na data ya IPsec huja kama ESP, itifaki ya IP 50, ambayo haina milango kabisa. Fomu ya kusambaza inayokubali TCP au UDP pekee haiwezi kueleza hilo, hivyo IPsec inahitaji passthrough au ramani tuli ya moja-kwa-mmoja badala ya kanuni ya mlango.

Tabaka juu ya ruta yako

Kusambaza kunadhibiti tafsiri iliyo yako pekee. Ikiwa anwani ya WAN si yako, ambayo ni hali iliyo nyuma ya NAT ya mtoa huduma ambapo wateja hushiriki 100.64.0.0/10 kama ilivyoelezwa kwenye RFC 6598, muunganisho unaoingia haufiki kamwe kwenye ruta yako kwa sababu mtoa huduma alitafsiri kwanza. Hakuna kanuni kwenye kifaa chako inayoweza kurekebisha mpangilio huo.

NAT mara mbili ni tatizo lile lile kwa kiwango kidogo. Ruta yako husambaza kwa ruta ya ISP, ambayo haina kanuni inayolingana na hutupa pakiti. Ama ongeza kanuni kwenye kifaa cha nje, au weka kifaa cha nje katika hali ya daraja na acha chako kishikilie anwani ya umma.

Ndiyo sababu jaribio lazima lije kutoka nje. Jaribio kutoka LAN moja kupitia anwani ya umma hutegemea msaada wa hairpin NAT na linaweza kufaulu au kushindwa kwa sababu zisizohusiana na kanuni; simu kwenye data ya simu, au rafiki kwenye mtandao mwingine, ni ukaguzi safi zaidi.

Weka kikomo kwenye kanuni, kisha thibitisha nusu zote mbili

Sambaza mlango mmoja kwenda anwani moja. Masafa yaliyoongezwa kwa sababu majaribio ya kwanza yalishindwa ndiyo njia ambayo violongo vya usimamizi huishia kwenye intaneti, na msikilizaji wa VPN hahitaji ukurasa wa msimamizi wa ruta kuchapishwa kando yake.

Hifadhi kila kitu kilichokuwa kikilinda msikilizaji huyo: utambulisho wa cheti au ufunguo, ukuta wa moto wa mwenyeji, matoleo ya sasa ya pakiti. Kusambaza huingiza pakiti; uthibitishaji huamua kama pakiti inakuwa handaki, na hayo ni mitihani miwili tofauti kitu kinapokwenda kombo.

Uthibitishaji una nusu mbili. Kupeana mkono lazima kukamilike kutoka mtandao wa nje, kisha rasilimali ya faragha nyuma ya seva lazima ijibu kupitia handaki. Kusambaza huingiza muunganisho wa handaki na hakuna zaidi; uelekezaji na idhini kwa 10.8.0.0/24 ni mpangilio mwingine kwenye skrini nyingine.

Amua kwa maswali matatu

Maswali matatu huamua chaguo haraka kuliko jedwali lolote la ulinganishaji:

• Kuna kitu kinachounganisha kutoka nje kama pakiti ya kwanza? Basi tumia usambazaji, au relay. Kuanzisha hakuwezi kufunguka bila trafiki ya kutoka ambayo haitawahi kuwepo.
• Shimo linapaswa kuishi zaidi ya muda wa kutokuwa na shughuli? Basi tumia usambazaji, kwa sababu ramani iliyoanzishwa hufungwa kwa ratiba yake yenyewe.
• Anwani ya WAN ni yako ili kuichapisha? Ikiwa sivyo, rekebisha tabaka la juu kabla ya kuhariri kanuni yoyote.

Ikiwa jibu kwa yote matatu ni hapana, ambayo ni hali ya kompyuta ya mkononi inayopiga simu yenyewe kwa mtoa huduma wa kibiashara, hakuna kanuni yoyote inayohitajika. Mteja aliye nyuma ya NAT hufanya kazi kwa sababu huunda ramani yenye hali mwenyewe, na hilo linashughulikia watu wengi wanaosoma ukurasa wa kusambaza mlango usiku wa manane.