ஒரு OpenVPN போர்ட், மூன்று சேவைகள்: உள் போர்ட்கள் ஏன் முக்கியம்

ஒரு SSH அமர்வு, ஒரு வலை பயன்பாடு மற்றும் ஒரு பெயர் தேடல் ஆகியவை போர்ட்களுக்காக போராடாமல் ஒரே VPN இணைப்பைப் பகிரலாம். கிளையண்ட் நுழைவாயிலுக்கு ஒரு மறையாக்கப்பட்ட ஓட்டத்தை உருவாக்குகிறது, ஒவ்வொரு பயன்பாட்டு உரையாடலும் அதன் உள்ளே பயணிக்கிறது. வெளியே சுரங்கத்தின் சொந்த போக்குவரத்தும் போர்ட்டும் மட்டுமே தெரிகிறது. உள்ளே ஒவ்வொரு சேவையும் அதன் சொந்த போர்ட்டை வைத்துக்கொண்டு அதன் சொந்த அனுமதியையும் தேவைப்படுத்துகிறது.

வெளி ஓட்டம் எதைச் சுமக்கிறது, எதை மறைக்கிறது

கிளையண்ட் ஒவ்வொரு பாக்கெட்டையும் இயந்திரத்தை விட்டு வெளியேறும் முன் சுரங்கத்தின் போக்குவரத்தில் மூடுகிறது. அந்த வெளி ஓட்டத்திற்கு VPN கட்டமைக்கப்பட்டபோது நிர்ணயிக்கப்பட்ட ஒரு இலக்கு போர்ட் உள்ளது. உறையின் உள்ளே ஒவ்வொரு அசல் பாக்கெட்டும் அது இலக்காகக் கொள்ளும் சேவையின் முகவரியையும் போர்ட்டையும் வைத்துக்கொள்கிறது. நுழைவாயில் உறையை அகற்றி உள் தலைப்பின்படி வழிநடத்துகிறது, எனவே இலக்கு வலையமைப்பில் இருந்து வரும் சாதாரண கிளையண்டைக் காண்கிறது.

எனவே WAN இடைமுகத்தில் பிடிப்பு மூன்று அல்ல, ஒரு உரையாடலைக் காட்டுகிறது. உள் போர்ட்கள் அவிழ்ப்புக்குப் பிறகே தோன்றும். அதனால்தான் ஒரு ஃபயர்வால் திறப்பு SSH, HTTPS மற்றும் DNS ஆகியவற்றை ஒரே நேரத்தில் சுமக்க முடியும்.

# WAN side: one outer tuple, whatever the inner services are
tcpdump -ni wan0 'udp port 443'
# tunnel side: the inner tuples appear after decapsulation
tcpdump -ni tun0

TUN/TAP ஆவணம் வழிநடத்தப்பட்ட TUN சாதனம் கர்னலுக்கும் பயனர் இடைவெளி செயல்முறைக்கும் இடையே IP பாக்கெட்டுகளைக் கடத்தும் ஒப்படைப்பை விவரிக்கிறது. அந்த ஒப்படைப்பே உள் தலைப்பை நுழைவாயிலின் வழிநடத்தல் மற்றும் ஃபயர்வால் குறியீட்டிற்குத் தெரியச் செய்கிறது. எந்தச் சேவைகள் அனுமதிக்கப்படுகின்றன என்பது குறித்து வெளி போர்ட் எதுவும் கூறாதது ஏன் என்பதையும் அது விளக்குகிறது.

NAT அனுப்புதல் கேட்பானுக்குரியது, பயன்பாடுகளுக்கு அல்ல

IPv4 NAT பின்னால் உள்ள சுய-வழங்கல் நுழைவாயிலுக்கு ஒரு உள்வரும் மொழிபெயர்ப்பு தேவை: பொது முகவரியும் போர்ட்டும் VPN கேட்பானுக்கு வரைபடமாக்கப்படுகின்றன. சுரங்க பயனர்கள் அடைவதால் மட்டுமே SSH, HTTPS அல்லது DNS க்கு எந்த விதியும் தேவையில்லை. அந்த போர்ட்களை வெளியிடுவது சுரங்கம் ஏற்கனவே பாதுகாக்கும் சேவைகளை வெளிப்படுத்தும். அனுப்புதல் விதி கேட்பானின் அணுகலை விவரிக்கிறது, உள்ளே உள்ள எதற்கும் அனுமதி அல்ல.

எதிர்மறையும் உண்மையே. சுரங்க போர்ட்டைத் திறப்பது வேறு எதையும் வெளிப்படுத்தாது, எனவே சுரங்கம் வழியாக மட்டுமே அடையக்கூடிய சேவை அதன் பொது மேற்பரப்பை மூடியே வைத்திருக்கிறது. அந்தப் பிரிப்பே பொதுவாக சேவையை தனியுரிமையாக வைத்திருக்கும் காரணம்.

அணுகல் உண்மையில் தீர்மானிக்கப்படுவது உள் கொள்கையில்தான்

மறையாக்கம் பாதையைப் பாதுகாக்கிறது; அது இலக்குக்கு அதிகாரம் அளிக்காது. எந்த முன்னொட்டுகள் சுரங்கத்திற்குள் நுழையும் என்பதை கிளையண்ட் வழிகள் தேர்வு செய்கின்றன, பாக்கெட்டுகள் அதிலிருந்து வெளியேறலாமா என்பதை நுழைவாயிலின் அனுப்புதல் கொள்கை தீர்மானிக்கிறது, சேவை பதிலளிக்குமா என்பதை இலக்கின் ஃபயர்வாலும் உள்நுழைவும் தீர்மானிக்கின்றன. DNS மிகத் தெளிவான நிலை: வினவல்களைச் சுமப்பது தீர்வானது உங்கள் கிளையண்ட் குளத்திலிருந்து அவற்றை ஏற்கச் செய்யாது. ஒவ்வொரு அடுக்கும் தனித்தனியாக இல்லை எனக் கூற முடியும்.

சுரங்கம் வழியாக ஒவ்வொரு சேவையையும் தனித்தனியாக சோதிக்கவும். வெற்றிகரமான தேடல் வலை போர்ட்டைப் பற்றி எதுவும் கூறாது, வெற்றிகரமான வலை கோரிக்கை SSH பற்றி எதுவும் கூறாது.

dig @10.40.0.53 app.corp.example
nc -vz 10.40.0.10 8443
ssh -p 2222 [email protected]

சுரங்கம் இயங்கி எல்லாம் தோல்வியடையும்போது முதலில் கிளையண்டின் வழி அட்டவணையைப் படிக்கவும். ஒரு சேவை தோல்வியடைந்து மற்றவை இயங்கும்போது, குறைபாடு அந்த இலக்கில் உள்ளது. இந்த இரண்டு கவனிப்புகளும் வெவ்வேறு பொறுப்பாளர்களைச் சுட்டுகின்றன, அவற்றைக் கலப்பது நேரத்தை வீணாக்குகிறது.

WireGuard அதே கோட்டை வரைகிறது

WireGuard தனது வெளி கேட்பானை ListenPort என்று பெயரிடுகிறது, உள் பயன்பாடு தனக்குத் தேவையான சேவை போர்ட்டை இன்னும் பயன்படுத்துகிறது. AllowedIPs என்பது வழிநடத்தப்பட்ட முன்னொட்டுகளின் தொகுப்பு, அனுமதிக்கப்பட்ட சேவை போர்ட்களின் பட்டியல் அல்ல. அதை போர்ட் அனுமதி பட்டியலாகப் படிப்பது சுரங்கம் செய்வதுடன் பொருந்தாத விதிகளை உருவாக்கும். பெயரிடல் வேறுபட்டது; அடுக்கமைவு அல்ல.

சேவை ஹோஸ்ட்டிலேயே இயங்கினால் உள்ளூர் உள்ளீட்டுக் கொள்கையிலும், அந்த ஹோஸ்ட்டுக்குப் பின்னால் இருந்தால் அனுப்புதல் கொள்கையிலும் அதை அனுமதிக்கவும். இந்த வேறுபாடே எந்த விதித் தொகுப்பு பாக்கெட்டைப் பார்க்கிறது என்பதைத் தீர்மானிக்கிறது.

பொதுவான வடிவம் பல உள் உரையாடல்களைக் கொண்ட ஒரு வெளி போக்குவரத்து. பல வெளிப் பரிமாற்றங்கள் அல்லது வேறு IP நெறிமுறை தேவைப்படும் தயாரிப்புகள், ஒரு-பொது-போர்ட் முறை இந்த வடிவமைப்பை விவரிக்கிறது, ஒவ்வொரு VPN ஐயும் அல்ல என்பதை நினைவூட்டுகின்றன.