Pag-trigger ng port kumpara sa port forwarding para sa home VPN server

Ang port forwarding at port triggering ay nasa iisang menu sa karamihan ng home router, kaya itinuturing silang dalawang paraan ng isang trabaho. Ang forwarding ay isang static na tuntunin: ang papasok na koneksyon sa isang WAN port ay isinasalin sa isang permanenteng panloob na address at port, may iba pang nangyayari o wala. Ang triggering ay may kondisyon: pinapanood ng router ang palabas na trapiko at nagbubukas lamang ng papasok na mapping pagkatapos lumabas ang tugmang koneksyon. Naghihintay ang VPN server na may ibang kumonekta muna, kaya ang mismong kondisyong iyon ang tanging bagay na hindi nito kayang tuparin.

Dalawang tuntunin na may magkaibang siklo ng buhay

Ang IPv4 NAT ay may estado. Kapag nagpadala ng packet palabas ang panloob na host, gumagawa ang router ng mapping upang mahanap ng mga sagot ang daan pabalik; ang papasok na packet na hindi tumutugma sa anumang mapping ay itinatapon, at ang pag-uugaling ito ang naglalayo ng desktop na hindi na-patch sa internet. Ang forwarding ay isang permanenteng entry ng salin na idinagdag sa kamay. Ang triggering ay isang pansamantalang butas na binabantayan ng isang pattern ng trapiko.

Ang praktikal na pagkakaiba ay oras. Umiiral ang forwarding mula sa sandaling i-save hanggang may magtanggal nito. Umiiral ang na-trigger na mapping pagkatapos pumutok ang trigger at nagsasara sa isang idle timer, sinusukat sa minuto sa consumer hardware, o agad kapag nag-reboot.

Wala sa dalawa ang mas ligtas sa abstraktong paraan. Inilalantad ng forwarding ang isang port nang tuloy-tuloy; inilalantad ito ng trigger pagkatapos lamang ng partikular na palabas na trapiko. Para sa serbisyong kailangang tumanggap ng unang packet mula sa estranghero, isa lamang sa dalawa ang angkop sa trabaho.

Bakit hindi maglalathala ang triggering ng server

Ang VPN server ay pasibo sa disenyo. Ang kapares, laptop man sa isang cafe o teleponong nasa mobile data, ang nagpapadala ng unang packet, at walang mapping ang router para dito. Walang anumang nasa loob ang nag-umpisa ng trapiko patungo sa trigger port, kaya hindi kailanman pumuputok ang tuntunin at namamatay ang koneksyon bago magsimula ang handshake.

Kung saan mukhang gumagana ang triggering, may ibang bagay na gumagawa ng trapiko sa trigger port: isang kliyente sa LAN, isang monitoring probe, o ang sariling palabas na pagsusuri ng server. Pagkatapos ay bumubukas ang mapping para sa nag-iisang host na iyon at nagsasara kapag tumigil ang trapiko, kaya nabibigo muli ang susunod na panlabas na kapares habang ang unang tagumpay ay nakaupo sa log at mukhang patunay.

Ang triggering ay karaniwang para rin sa isang host. Pinapayagan ng maraming implementasyon ang isang panloob na aparato lamang na humawak ng mapping sa isang pagkakataon, na eksaktong mali para sa server na dapat sumagot sa maraming kapares. Ang tampok ay ginawa para sa mga app na nagbubukas ng kontrol na koneksyon palabas at umaasang may papasok na data sa ikalawang port, at umaayon pa rin ito sa hugis na iyon.

Ano ba talaga ang naka-map sa forwarding

Ang forwarding ay isang entry ng salin: port at protocol ng WAN patungo sa panloob na address at port. Kailangan nito ng nakikinig na tumatakbo na sa kabilang dulo, at kailangang manatili ang panloob na address sa puwesto nito. Ang DHCP lease na lumipat sa ibang makina ay tahimik na nagpapadala ng bawat tunnel sa maling host, kaya gumawa ng reserbasyon bago ang tuntunin.

Mas mahalaga ang protocol kaysa ipinahihiwatig ng form. Ang OpenVPN sa UDP ay nangangailangan ng UDP forwarding, ang WireGuard ay nangangailangan ng UDP, at ang IPsec data ay dumarating bilang ESP, IP protocol 50, na walang anumang port. Ang form ng forwarding na tumatanggap lamang ng TCP o UDP ay hindi maipahayag iyon, kaya ang IPsec ay nangangailangan ng passthrough o static na one-to-one mapping sa halip na port rule.

Ang layer sa itaas ng iyong router

Kinokontrol lamang ng forwarding ang salin na pag-aari mo. Kung hindi sa iyo ang WAN address, na siyang kaso sa likod ng carrier-grade NAT kung saan nagbabahagi ang mga subscriber ng 100.64.0.0/10 gaya ng inilarawan sa RFC 6598, hindi kailanman umaabot ang papasok na koneksyon sa iyong router dahil naisalin muna ng provider. Walang tuntunin sa iyong aparato ang makakapag-ayos ng pagkakasunod-sunod na iyon.

Ang double NAT ay ang parehong problema sa maliit na anyo. Nagpapasa ang iyong router sa ISP router, na walang tugmang tuntunin at itinatapon ang packet. O idagdag ang tuntunin sa panlabas na aparato, o ilagay ito sa bridge mode at hayaang ang sa iyo ang humawak ng pampublikong address.

Kaya dapat manggaling sa labas ang pagsubok. Ang pagsubok mula sa parehong LAN sa pamamagitan ng pampublikong address ay nakadepende sa suporta ng hairpin NAT at maaaring pumasa o mabigo sa mga dahilang walang kaugnayan sa tuntunin; isang telepono sa mobile data, o isang kaibigan sa ibang network, ang mas malinis na pagsusuri.

Limitahan ang tuntunin, pagkatapos i-verify ang dalawang kalahati

Ipasapasa ang isang port sa isang address. Ang saklaw na idinagdag dahil nabigo ang mga unang pagtatangka ang daan kung paano napupunta ang mga management interface sa internet, at hindi kailangan ng VPN listener ang admin page ng router na nakalathala sa tabi nito.

Panatilihin ang lahat ng dating nagpoprotekta sa nakikinig na iyon: pagkakakilanlan sa sertipiko o susi, firewall ng host, kasalukuyang bersyon ng package. Ang forwarding ay nagpapapasok ng packet; ang authentication ang nagtatakda kung magiging tunnel ang packet, at dalawang magkaibang kabiguan iyon kapag may nagkamali.

May dalawang kalahati ang verification. Dapat makumpleto ang handshake mula sa panlabas na network, at pagkatapos ay dapat sumagot ang pribadong resource sa likod ng server sa pamamagitan ng tunnel. Ang forwarding ay nagpapapasok ng koneksyon ng tunnel at wala nang iba; ang routing at authorization para sa 10.8.0.0/24 ay ibang setting sa ibang screen.

Magdesisyon gamit ang tatlong tanong

Tatlong tanong ang nagtatakda ng pagpili nang mas mabilis kaysa anumang talahanayan ng paghahambing:

• May kumokonekta ba mula sa labas bilang unang packet? Kung gayon, gamitin ang forwarding, o isang relay. Hindi makakabukas ang triggering nang walang palabas na trapiko na hindi kailanman mangyayari.
• Kailangan bang mabuhay ng butas nang mas matagal kaysa idle time? Kung gayon, gamitin ang forwarding, dahil nagsasara ang na-trigger na mapping ayon sa sarili nitong iskedyul.
• Pag-aari mo ba ang WAN address para ilathala? Kung hindi, ayusin ang layer sa itaas bago i-edit ang anumang tuntunin.

Kung ang sagot sa tatlo ay hindi, na siyang kaso ng laptop na sariling tumatawag sa isang komersyal na provider, wala sa dalawang tuntunin ang kailangan. Gumagana ang kliyente sa likod ng NAT dahil siya mismo ang gumagawa ng mapping na may estado, at sinasaklaw nito ang karamihan ng tao na nagbabasa ng pahina tungkol sa port forwarding hatinggabi.