Lango zipi za VPN za kufungua kwenye firewall: itifaki kwa itifaki

Sheria mbili tofauti huamua kama handaki la VPN litapita kwenye firewall: lango ambalo mteja hupiga simu na itifaki inayobeba mzigo. Fungua la kwanza pekee na handaki litathibitishwa, lakini baadaye hakuna data itakayosonga. Kiwango cha chini ni lango moja la TCP pamoja na GRE kwa PPTP, malango mawili ya UDP pamoja na ESP kwa L2TP/IPsec na IKEv2, na lango moja kwa SSTP, OpenVPN na WireGuard. Mwelekeo, ufuatiliaji wa hali na NAT huamua mengine.

Anza na lango ambalo mteja hupiga simu

Kila familia ina sehemu moja ya kuingia ambayo mteja huwasiliana nayo kwanza, na sehemu hiyo ndiyo sheria yako ya idhini inapaswa kuitaja. Wateja wa PPTP huungana na TCP 1723. L2TP/IPsec huanza IKE kwenye UDP 500 na huhamia UDP 4500 pindi uvukaji wa NAT unapotumika, huku fremu ya L2TP yenyewe ikiwa kwenye UDP 1701 ndani ya handaki. SSTP hufunga kikao ndani ya TLS kwenye TCP 443, IKEv2 hujadiliana kwenye UDP 500 na 4500, OpenVPN kwa kawaida hutumia UDP 1194 lakini mara nyingi huhamishwa hadi TCP 443, na WireGuard husikiliza kwenye UDP 51820.

Chukulia namba hizi kama thamani za kawaida na si sifa zisizobadilika. Kiolesura cha WireGuard hutumia lango lolote la kusikiliza ambalo usanidi wake unatangaza, na seva ya OpenVPN inaweza kukaa kwenye lango lolote alilochagua msimamizi. Soma usanidi wa seva kabla ya kuandika sheria, kwa sababu firewall iliyofunguliwa kwa 1194 haifanyi chochote kwa seva iliyohamishwa hadi 443.

Safu ya tatu ni mahali ambapo tiketi nyingi za mabadiliko huenda vibaya. Sheria ipo, lakini inaelekeza kwenye lengo lisilo sahihi, mwelekeo usio sahihi au usafirishaji usio sahihi.

GRE na ESP ni namba za itifaki, si malango

GRE na ESP hazina malango kabisa, kwa hiyo fomu ya firewall inayokubali namba za lango pekee haiwezi kuzieleza. GRE ni itifaki ya IP 47 na ESP ni itifaki ya IP 50, zote hulinganishwa kupitia sehemu ya itifaki kwenye kichwa cha IP. Sheria iliyoandikwa kama lango la TCP 47 hailingani na kitu chochote, na hivyo sera ya PPTP huonekana sahihi na bado hutupa kila pakiti baada ya kupeana mikono.

Ruta za majumbani huficha hili nyuma ya kisanduku cha kuvuka kinachoweka sheria ya itifaki na, kwa GRE, msaidizi wa NAT unaohitajika kuchora mtiririko. Kwenye firewall halisi unaongeza itifaki mwenyewe: ruhusu itifaki ya IP 47 kuelekea seva ya PPTP, ruhusu itifaki ya IP 50 kuelekea lango la IPsec. Pale jukwaa linapokosa sehemu ya itifaki, ufungashaji ndiyo njia, ndiyo sababu IKEv2 inaweza kurudi kwenye UDP 4500 na ndiyo sababu OpenVPN na WireGuard hazikosi tatizo hili kamwe.

Angalia sheria inalingana na nini hasa kabla ya kumlaumu mteja. Kihesabu cha pakiti kinachobaki sifuri kwenye lango kinasema sheria haikuwahi kuwaka, na usanikishaji upya wowote upande wa mteja haubadilishi hilo.

Mwelekeo, hali na NAT hubadilisha jibu

Mteja anayepiga simu kuelekea nje na lango linalosikiliza kuelekea ndani ni mahitaji tofauti, na orodha hiyo hiyo ya malango inaweza kuwa sahihi upande mmoja na isiyo sahihi upande mwingine. Firewall inayojua hali hufuatilia mtiririko wa UDP kwenye 500 na 4500 na huruhusu majibu kurudi bila sheria ya pili. ESP na GRE hazibebi malango, kwa hiyo kifaa cha NAT hakina cha kushikilia na kinahitaji msaidizi au ufungashaji ili kufuata kikao.

Uvukaji wa NAT ni sehemu ambayo hukosekana. IKEv2 huanza kwenye UDP 500, hutambua kifaa cha NAT na kuendelea kwenye UDP 4500, kwa hiyo sera inayoruhusu 500 pekee hutoa handaki linalojengwa kisha kunyamaza. L2TP/IPsec hufanya hatua hiyo hiyo. Ikiwa nakala yako inaonyesha mabadilishano ya kwanza lakini si trafiki endelevu, tafuta sheria inayosimama kwenye 500.

Andika mwelekeo pamoja na kila sheria. «Ruhusu UDP 4500» haimaanishi chochote hadi useme kutoka wapi hadi wapi, na sheria sahihi kwa mteja anayesafiri kwa kawaida si sahihi kwa mwenza wa tovuti-hadi-tovuti.

Angalia kila njia kwa nakala

Endesha nakala kwenye lango, si kwa mteja: mteja hurekodi kile kilichofika pekee. Vichujio hivi vinashughulikia familia zilizo juu na vinaonyesha hatua ipi haipo:

sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50

Soma matokeo kama mfululizo. Wakati majadiliano yanaonekana lakini itifaki ya mzigo haionekani, kudondosha hutokea mahali fulani kati ya mteja na lango. Wakati zote mbili zinaonekana na ukurasa bado unashindwa, firewall si mshuki tena; angalia uelekezaji, DNS au dimbwi la anwani lililopewa mteja.

Kwenye mashine isiyo na tcpdump, ushahidi huo huo huja kutoka vihesabu vya kiolesura na sheria. Baiti zinaingia lakini hazitoki kwenye kiolesura cha handaki — hiyo inaelekeza kwenye njia ya kurudi na si kwenye sheria ya awali ya idhini.

Acha seti ya sheria unayoweza kuitetea

SSTP kwenye TCP 443 haiwezi kutofautishwa na HTTPS ya kawaida kwa kichujio chochote kinachotegemea malango, na hilo ndilo lengo wakati mtandao unaruhusu trafiki ya wavuti pekee. Ndiyo sababu sheria ya 443 inapaswa kutaja lango kama lengo badala ya mtandao wote. Futa sheria za muda za kitu-chochote-hadi-kitu-chochote mara handaki linapofanya kazi. Andika sheria ipi ililingana, namba ya itifaki pale ilipo, na mwelekeo, ili mtu anayefuata aanze na ushahidi.

Malango ya wingu ya nukta-hadi-tovuti hufanya chaguo lionekane: wasifu uliopakuliwa hutumia SSTP kwenye 443 au IKEv2 kwenye 500 na 4500, na unapaswa kufungua lile ambalo wasifu huchagua hasa pekee. PPTP haistahili msamaha wa GRE kwenye mtandao wa kisasa, kwa kuwa waendeshaji wa simu huacha itifaki 47 mara nyingi bila kujali firewall yako. Kabla ya kufunga tiketi, hakikisha sheria inalingana na lango kwenye usanidi wa seva, sehemu ya itifaki imewekwa pale familia inahitaji, na lengo ni lango na si anwani yoyote.