ஃபயர்வாலில் எந்த VPN போர்ட்களைத் திறக்க வேண்டும்: நெறிமுறை வாரியாக
PPTP-க்கு TCP 1723 மற்றும் GRE தேவை, L2TP/IPsec-க்கு UDP 500 மற்றும் 4500 மற்றும் ESP தேவை, SSTP, OpenVPN, WireGuard ஒவ்வொன்றுக்கும் ஒரு போர்ட் தேவை. எதைத் திறக்க வேண்டும் என்பது இங்கே.
VPN சுரங்கப்பாதை ஃபயர்வாலைக் கடக்குமா என்பதை இரண்டு தனித்தனி விதிகள் தீர்மானிக்கின்றன: வாடிக்கையாளர் டயல் செய்யும் போர்ட் மற்றும் சுமையைக் கொண்டு செல்லும் நெறிமுறை. முதலாவதை மட்டும் திறந்தால் சுரங்கப்பாதை அங்கீகாரம் பெறும், ஆனால் பிறகு தரவு நகராது. குறைந்தபட்சம் PPTP-க்கு ஒரு TCP போர்ட் மற்றும் GRE, L2TP/IPsec மற்றும் IKEv2-க்கு இரண்டு UDP போர்ட்கள் மற்றும் ESP, மேலும் SSTP, OpenVPN, WireGuard-க்கு ஒவ்வொரு போர்ட் ஆகும். திசை, நிலைக் கண்காணிப்பு மற்றும் NAT மீதியைத் தீர்மானிக்கின்றன.
வாடிக்கையாளர் டயல் செய்யும் போர்ட்டில் தொடங்குங்கள்
ஒவ்வொரு குடும்பத்திற்கும் வாடிக்கையாளர் முதலில் தொடர்பு கொள்ளும் ஒரு நுழைவுப் புள்ளி உள்ளது, அந்த நுழைவுப் புள்ளியையே உங்கள் அனுமதி விதி பெயரிட வேண்டும். PPTP வாடிக்கையாளர்கள் TCP 1723-உடன் இணைகிறார்கள். L2TP/IPsec UDP 500-இல் IKE-ஐத் தொடங்கி NAT கடத்தல் பயன்படுத்தப்படும்போது UDP 4500-க்கு மாறுகிறது, L2TP சட்டகம் சுரங்கப்பாதைக்குள் UDP 1701-இல் உள்ளது. SSTP அமர்வை TCP 443-இல் TLS-ஆகச் சுருட்டுகிறது, IKEv2 UDP 500 மற்றும் 4500-இல் பேச்சுவார்த்தை நடத்துகிறது, OpenVPN இயல்பாக UDP 1194-ஐப் பயன்படுத்துகிறது ஆனால் பெரும்பாலும் TCP 443-க்கு நகர்த்தப்படுகிறது, WireGuard UDP 51820-இல் கேட்கிறது.
| Family | Rule to add on the gateway | Typical mistake |
|---|---|---|
| WireGuard | UDP port from ListenPort, for the peer address | Assuming 51820 when the config says otherwise |
| OpenVPN | The configured UDP or TCP port, often 443 | Opening 1194 after the server moved |
| SSTP | TCP 443 limited to the gateway IP | Allowing 443 to any destination |
| IKEv2 | UDP 500 and UDP 4500, plus ESP | Allowing only 500 and losing NAT-T |
| L2TP/IPsec | UDP 500, 4500, ESP, and 1701 inside the tunnel | Exposing 1701 to the internet |
| PPTP | TCP 1723 and IP protocol 47 | Writing a rule for TCP 47 |
இந்த எண்களை நிலையான பண்புகளாக அல்ல, இயல்பு மதிப்புகளாகக் கருதுங்கள். WireGuard இடைமுகம் அதன் கட்டமைப்பு அறிவிக்கும் எந்தக் கேட்கும் போர்ட்டையும் பயன்படுத்துகிறது, OpenVPN சேவையகம் நிர்வாகி தேர்ந்தெடுத்த எந்தப் போர்ட்டிலும் அமரலாம். விதியை எழுதும் முன் சேவையகக் கட்டமைப்பைப் படியுங்கள், ஏனெனில் 1194-க்குத் திறந்த ஃபயர்வால் 443-க்கு நகர்த்தப்பட்ட சேவையகத்திற்கு எதுவும் செய்யாது.
மூன்றாவது நெடுவரிசைதான் பெரும்பாலான மாற்ற டிக்கெட்டுகள் தவறாகும் இடம். விதி உள்ளது, ஆனால் அது தவறான இலக்கு, தவறான திசை அல்லது தவறான போக்குவரத்தை நோக்கிக் காட்டுகிறது.
GRE மற்றும் ESP நெறிமுறை எண்கள், போர்ட்கள் அல்ல
GRE மற்றும் ESP-க்கு போர்ட்களே இல்லை, எனவே போர்ட் எண்களை மட்டும் ஏற்கும் ஃபயர்வால் படிவம் அவற்றை வெளிப்படுத்த முடியாது. GRE என்பது IP நெறிமுறை 47, ESP என்பது IP நெறிமுறை 50, இரண்டும் IP தலைப்பில் உள்ள நெறிமுறை புலத்தால் பொருத்தப்படுகின்றன. TCP போர்ட் 47 என எழுதப்பட்ட விதி எதனுடனும் பொருந்தாது, இப்படித்தான் PPTP கொள்கை சரியாகத் தெரிந்தும் கைக்குலுக்கலுக்குப் பிறகு ஒவ்வொரு பாக்கெட்டையும் வீழ்த்துகிறது.
நுகர்வோர் ரவுட்டர்கள் இதை ஒரு கடத்தல் தேர்வுப்பெட்டிக்குப் பின்னால் மறைத்து, நெறிமுறை விதியையும், GRE-க்கு ஓட்டத்தை வரைபடமாக்கத் தேவையான NAT உதவியாளரையும் நிறுவுகின்றன. உண்மையான ஃபயர்வாலில் நீங்களே நெறிமுறையைச் சேர்க்கிறீர்கள்: PPTP சேவையகத்திற்கு IP நெறிமுறை 47-ஐ அனுமதிக்கவும், IPsec நுழைவாயிலுக்கு IP நெறிமுறை 50-ஐ அனுமதிக்கவும். தளம் நெறிமுறை புலத்தை வழங்காத இடத்தில், என்கேப்சுலேஷனே வழி, அதனால்தான் IKEv2 UDP 4500-க்குத் திரும்ப முடிகிறது, அதனால்தான் OpenVPN, WireGuard இந்தச் சிக்கலைச் சந்திப்பதே இல்லை.
வாடிக்கையாளரைக் குறை சொல்வதற்கு முன் விதி உண்மையில் எதனுடன் பொருந்துகிறது என்பதைச் சரிபார்க்கவும். நுழைவாயிலில் பூஜ்ஜியத்தில் நிற்கும் பாக்கெட் கணக்கி விதி ஒருபோதும் இயங்கவில்லை என்று சொல்கிறது, வாடிக்கையாளர் பக்கத்தில் எத்தனை முறை மீள்நிறுவினாலும் அது மாறாது.
திசை, நிலை மற்றும் NAT பதிலை மாற்றுகின்றன
வெளியே டயல் செய்யும் வாடிக்கையாளரும் உள்ளே கேட்கும் நுழைவாயிலும் வெவ்வேறு தேவைகள், அதே போர்ட் பட்டியல் ஒரு திசையில் சரியாகவும் மறுதிசையில் தவறாகவும் இருக்கலாம். நிலை அறியும் ஃபயர்வால் 500 மற்றும் 4500-இல் UDP ஓட்டத்தைக் கண்காணித்து இரண்டாவது விதி இல்லாமல் பதில்களைத் திரும்ப விடுகிறது. ESP, GRE போர்ட்களைக் கொண்டு செல்வதில்லை, எனவே NAT சாதனத்திற்குப் பிடிக்க எதுவும் இல்லை, அமர்வைப் பின்தொடர உதவியாளர் அல்லது என்கேப்சுலேஷன் தேவை.
NAT கடத்தல்தான் தவறவிடப்படும் பகுதி. IKEv2 UDP 500-இல் தொடங்கி NAT சாதனத்தைக் கண்டறிந்து UDP 4500-இல் தொடர்கிறது, எனவே 500-ஐ மட்டும் அனுமதிக்கும் கொள்கை நிறுவப்பட்டு பிறகு அமைதியாகும் சுரங்கப்பாதையைத் தரும். L2TP/IPsec-ம் அதே நகர்வைச் செய்கிறது. உங்கள் பதிவு முதல் பரிமாற்றத்தைக் காட்டி தொடர் போக்குவரத்தைக் காட்டவில்லை என்றால், 500-இல் நிற்கும் விதியைத் தேடுங்கள்.
ஒவ்வொரு விதியுடனும் திசையைப் பதிவு செய்யுங்கள். «UDP 4500-ஐ அனுமதி» எங்கிருந்து எங்கே என்று சொல்லும் வரை எதையும் குறிக்காது, நகரும் வாடிக்கையாளருக்குச் சரியான விதி பொதுவாக தளம்-முதல்-தளம் இணைக்கு தவறானது.
ஒவ்வொரு பாதையையும் பதிவால் சரிபார்க்கவும்
பதிவை வாடிக்கையாளரில் அல்ல, நுழைவாயிலில் இயக்குங்கள்: வாடிக்கையாளர் வந்ததை மட்டுமே பதிவு செய்கிறது. இந்த வடிகட்டிகள் மேலே உள்ள குடும்பங்களை உள்ளடக்கி எந்த நிலை விடுபட்டுள்ளது என்பதைக் காட்டுகின்றன:
sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50வெளியீட்டை ஒரு வரிசையாகப் படியுங்கள். பேச்சுவார்த்தை தெரிந்தும் சுமை நெறிமுறை தெரியவில்லை என்றால், வீழ்ச்சி வாடிக்கையாளருக்கும் நுழைவாயிலுக்கும் இடையே எங்கோ நடக்கிறது. இரண்டும் தெரிந்தும் பக்கம் இன்னும் தோல்வியடைந்தால், ஃபயர்வால் இனி சந்தேகத்திற்குரியது அல்ல; வழித்தடம், DNS அல்லது வாடிக்கையாளருக்கு வழங்கப்பட்ட முகவரிக் குளத்தைப் பாருங்கள்.
tcpdump இல்லாத இயந்திரத்தில் அதே ஆதாரங்கள் இடைமுக மற்றும் விதி கணக்கிகளிலிருந்து வரும். சுரங்கப்பாதை இடைமுகத்தில் பைட்டுகள் உள்ளே வந்து வெளியே போகாவிட்டால், அது முதல் அனுமதி விதியை அல்ல, திரும்பும் பாதையைச் சுட்டுகிறது.
நீங்கள் பாதுகாக்கக்கூடிய விதித் தொகுப்பை விட்டுச் செல்லுங்கள்
TCP 443-இல் SSTP போர்ட் அடிப்படையிலான எந்த வடிகட்டிக்கும் சாதாரண HTTPS-இலிருந்து வேறுபடுத்த முடியாது, நெட்வொர்க் வலை போக்குவரத்தை மட்டும் அனுமதிக்கும்போது அதுதான் நோக்கம். அதனால்தான் 443 விதி முழு இணையத்திற்குப் பதிலாக நுழைவாயிலை இலக்காகப் பெயரிட வேண்டும். சுரங்கப்பாதை வேலை செய்தவுடன் தற்காலிக எதிலிருந்தும்-எதற்கும் விதிகளை நீக்குங்கள். எந்த விதி பொருந்தியது, இருக்கும் இடத்தில் நெறிமுறை எண், திசை ஆகியவற்றை எழுதுங்கள், அடுத்தவர் ஆதாரத்திலிருந்து தொடங்கட்டும்.
கிளவுட் புள்ளி-முதல்-தளம் நுழைவாயில்கள் தேர்வைத் தெரியச் செய்கின்றன: பதிவிறக்கிய சுயவிவரம் 443-இல் SSTP அல்லது 500 மற்றும் 4500-இல் IKEv2 பயன்படுத்துகிறது, சுயவிவரம் உண்மையில் தேர்ந்தெடுப்பதை மட்டும் திறக்க வேண்டும். நவீன நெட்வொர்க்கில் PPTP-க்கு GRE விதிவிலக்கு தேவையில்லை, ஏனெனில் மொபைல் ஆபரேட்டர்கள் உங்கள் ஃபயர்வாலைப் பொருட்படுத்தாமல் நெறிமுறை 47-ஐ அடிக்கடி வீழ்த்துகிறார்கள். டிக்கெட்டை மூடும் முன் விதி சேவையகக் கட்டமைப்பின் போர்ட்டுடன் பொருந்துகிறதா, நெறிமுறை புலம் குடும்பத்திற்குத் தேவையான இடத்தில் அமைக்கப்பட்டுள்ளதா, இலக்கு எந்த முகவரியும் அல்ல நுழைவாயில் என்பதை உறுதிப்படுத்துங்கள்.