స్టేట్‌లెస్ VPN ఎడ్జ్ ఫైర్‌వాల్‌లో DNS ప్రతిస్పందన ఎందుకు విఫలమవుతుంది

టన్నెల్ పనిచేస్తోంది, క్లయింట్‌లు VPN హోస్ట్‌ను చేరుకోగలరు, కానీ హోస్ట్ ఏదీ పరిష్కరించలేదు. దాని స్వంత బయటకు వెళ్లే ప్రశ్నలు ఇంటర్‌ఫేస్‌ను శుభ్రంగా విడిచిపెడతాయి, కాబట్టి వైఫల్యం తిరిగి వచ్చే మార్గంలో ఉంది: హోస్ట్ ఇప్పుడే పంపినది గుర్తుంచుకోకుండా వచ్చే ట్రాఫిక్‌ను ఫిల్టర్ చేసే పై ఎడ్జ్ వద్ద. టన్నెల్ పోర్టుకు అనుమతి ఇవ్వడం ఆ మార్పిడిని అసలు వివరించదు. DNS ప్రశ్నకు ప్రతిస్పందన ప్రత్యేక ప్రవాహం, ఎడ్జ్ స్టేట్‌లెస్ అయితే తిరిగి రావడానికి ఏదీ అనుమతి ఇవ్వలేదు.

రెండు మార్పిడులు ఒకటే మార్పిడి కావు

టుపుల్స్ రాయండి, తప్పు స్పష్టమవుతుంది. అభ్యర్థన యొక్క గమ్య పోర్ట్ ప్రతిస్పందన యొక్క మూల పోర్ట్ అవుతుంది, ఇది పోర్ట్ 53 కోసం ఇన్‌బౌండ్ నియమం జోడించేటప్పుడు చాలామంది ఊహించేదానికి పూర్తి వ్యతిరేకం:

query:  203.0.113.10:53018 -> 198.51.100.53:53
reply:  198.51.100.53:53 -> 203.0.113.10:53018

గమ్య పోర్ట్ 53 అవసరమయ్యే ఇన్‌కమింగ్ నియమం హోస్ట్‌పై నడుస్తున్న DNS శ్రోతకు చిరునామా చేసిన ట్రాఫిక్‌ను వివరిస్తుంది, అది పూర్తిగా వేరే సేవ. ఆ చిరునామాలు పత్రాల ఉదాహరణలు, మూల పోర్ట్‌ను ప్రతి ప్రశ్నకు క్లయింట్ ఎంచుకుంటుంది, కాబట్టి ఇది నియమంలోకి కాపీ చేసి పని కొనసాగుతుందని ఆశించగల విలువ కాదు.

స్టేట్‌లెస్ ఎడ్జ్ మరియు స్టేట్‌ఫుల్ హోస్ట్ ఫైర్‌వాల్

స్టేట్‌లెస్ ఎడ్జ్ ఫిల్టర్ వెనుక కనెక్షన్ పట్టిక లేకుండా ప్రతి వచ్చే ప్యాకెట్‌ను తన నియమాల జాబితాతో పోల్చి అంచనా వేస్తుంది. విజయవంతంగా బయటకు వెళ్లిన ప్రశ్న తన ఇన్‌బౌండ్ ప్రతిస్పందనకు ఎలాంటి అనుమతిని సృష్టించదు, ఎందుకంటే పరికరం వద్ద ప్రశ్న ఎప్పుడైనా జరిగిందని రికార్డు లేదు. స్టేట్‌ఫుల్ హోస్ట్ ఫైర్‌వాల్ దీనికి వ్యతిరేకం: దాని కనెక్షన్ ట్రాకింగ్ అనుమతించిన మార్పిడి యొక్క తిరిగి వచ్చే ట్రాఫిక్‌ను గుర్తించి ప్రతిస్పందనకు నియమం లేకుండా దాన్ని దాటనిస్తుంది. రెండు సరిహద్దులు సాధారణ మార్గంలో ఉన్నాయి, మరియు రెండూ ఉద్దేశించిన ప్యాకెట్‌ను అనుమతించాలి.

పోలిక ముఖ్యం ఎందుకంటే రెండు పరికరాలు వేర్వేరుగా విఫలమవుతాయి. ప్రతిస్పందనను తిరస్కరించే స్టేట్‌ఫుల్ ఫైర్‌వాల్ డ్రాప్‌ను నమోదు చేస్తుంది; స్టేట్‌లెస్ ఎడ్జ్ దాన్ని నిశ్శబ్దంగా తిరస్కరిస్తుంది, అందుకే హోస్ట్ కేవలం సమయ పరిమితిని చేరుకుంటుంది.

అనుమతిని పోర్ట్ సంఖ్య చుట్టూ కాదు, ప్రోటోకాల్ చుట్టూ నిర్మించండి

నియమాన్ని నిజమైన రిజాల్వర్ చిరునామాలు, గమ్య హోస్ట్ మరియు ఉత్పత్తి మద్దతు ఇచ్చే స్వీకరణ పోర్ట్ విధానానికి పరిమితం చేయండి. DNS యొక్క TCP మార్గాన్ని కూడా గుర్తుంచుకోండి, ఎందుకంటే పెద్ద ప్రతిస్పందన లేదా కత్తిరింపు వల్ల వెనక్కి తగ్గడం మార్పిడిని TCPకి మారుస్తుంది మరియు UDP మాత్రమే ఉన్న నియమం దాన్ని కవర్ చేయదు. ఎడ్జ్ నిర్వచిత ప్రవాహానికి స్టేట్‌ఫుల్ తనిఖీని మద్దతు ఇస్తే, చేతితో రాసిన ప్రతిస్పందన నియమం కంటే దానికి ప్రాధాన్యం ఇవ్వండి, ఎందుకంటే స్టేట్‌ఫుల్ మార్గం క్లయింట్ ఎంచుకున్న పోర్టులను స్వయంచాలకంగా అనుసరిస్తుంది.

తర్వాత మార్గంలో ఏ ఉత్పత్తి ట్రాఫిక్‌ను నిజంగా ఫిల్టర్ చేస్తుందో నిర్ధారించండి. పత్రాలలో ఉన్న IPv4 ఎడ్జ్ పరిధి IPv6 విధానాన్ని ఏర్పాటు చేయదు, మరియు ప్రదాత అంతర్గత ట్రాఫిక్ అదే ఫిల్టర్ గుండా ఎప్పటికీ వెళ్లకపోవచ్చు.

ఏదైనా మూల పోర్ట్ 53ను అనుమతించడం ఎందుకు పరిష్కారం కాదు

మూల పోర్ట్ 53 ఉందని చెప్పుకునే దేన్నైనా అంగీకరించే నియమం, పంపేవాడు హెడర్ ఫీల్డ్‌లో రాసేదాన్ని అంగీకరించే నియమం. పోర్ట్ సంఖ్య పంపేవాడిని ధృవీకరించదు మరియు పేలోడ్ చెల్లుబాటు అయ్యే ప్రతిస్పందన అని నిరూపించదు, కాబట్టి నియమం పరిష్కారాన్ని మరింత నమ్మకమైనదిగా చేయకుండా హోస్ట్ యొక్క బహిర్గతతను విస్తరిస్తుంది. యాక్సెస్ జాబితాను సులభతరం చేయడానికి వాటిని ఆఫ్ చేయడానికి బదులుగా మూల పరిమితులు మరియు క్లయింట్ యొక్క స్వంత ప్రతిస్పందన తనిఖీలను, మూల పోర్ట్ యాదృచ్ఛీకరణతో సహా, నిలుపుకోండి.

రిజాల్వర్ మీరు నియంత్రించే సేవ అయితే, దాని చిరునామాలకు పరిమితం చేయడం సరిపోతుంది. అది పబ్లిక్ రిజాల్వర్ అయితే, మీరు ఆమోదించిన చిరునామాలకు పరిమితం చేసి వాటిని నియమం వ్యాఖ్యలో రాయండి.

సరైన సరిహద్దులో, సరైన దిశలో ధృవీకరించండి

అదే ప్రశ్న కోసం హోస్ట్‌లో మరియు ఎడ్జ్‌లో సంగ్రహించి, ప్యాకెట్ గణనలకు బదులుగా టుపుల్స్‌ను పోల్చండి. రెండు వైపులా కనిపించే కానీ హోస్ట్ వైపు ప్రతిస్పందన కనిపించని ప్రశ్న ఇన్‌బౌండ్ ఫిల్టర్‌ను సూచిస్తుంది; హోస్ట్ వైపు మాత్రమే కనిపించే ప్రశ్న రూటింగ్ లేదా రిజాల్వర్‌ను సూచిస్తుంది. మీకు UDP అనుమతి మాత్రమే ఉంటే TCP ప్రశ్నతో పునరావృతం చేయండి, ఎందుకంటే మొదటి పరీక్ష చూడలేని ఖాళీ అదే.

దీన్ని సరిచేయడం హోస్ట్‌కు నిజంగా అవసరమైన DNS మార్పిడిని పూర్తి చేస్తుంది. ఇది హోస్ట్‌ను పబ్లిక్ రిజాల్వర్‌గా మార్చదు, ముందుకు పంపిన VPN ప్రవాహాలను అనుమతించదు, మరియు DNS ఏదో సంబంధం లేని టన్నెల్ సమస్యకు కారణమని నిరూపించదు.