Aling mga VPN port ang bubuksan sa firewall: protokolo bawat protokolo
Kailangan ng PPTP ang TCP 1723 at GRE, kailangan ng L2TP/IPsec ang UDP 500 at 4500 at ESP, at ang SSTP, OpenVPN at WireGuard ay isang port bawat isa. Narito ang bubuksan.
Dalawang magkaibang tuntunin ang nagpapasya kung malalampasan ng isang VPN tunnel ang firewall: ang port na tinatawagan ng kliyente at ang protokol na nagdadala ng kargada. Buksan lamang ang una at magpapatotoo ang tunnel, ngunit pagkatapos ay walang datos na gagalaw. Ang pinakamababa ay isang TCP port at GRE para sa PPTP, dalawang UDP port at ESP para sa L2TP/IPsec at IKEv2, at isang port para sa SSTP, OpenVPN at WireGuard. Ang direksyon, pagsubaybay ng estado at NAT ang nagpapasya sa iba pa.
Magsimula sa port na tinatawagan ng kliyente
Bawat pamilya ay may pasukan na unang kinokontak ng kliyente, at iyon ang dapat pangalanan ng iyong tuntunin sa pagpapahintulot. Ang mga kliyenteng PPTP ay kumokonekta sa TCP 1723. Nagsisimula ang L2TP/IPsec ng IKE sa UDP 500 at lumilipat sa UDP 4500 kapag ginagamit ang pagtawid ng NAT, habang ang L2TP frame mismo ay nasa UDP 1701 sa loob ng tunnel. Binabalot ng SSTP ang sesyon sa TLS sa TCP 443, nakikipag-ayos ang IKEv2 sa UDP 500 at 4500, gumagamit ang OpenVPN ng UDP 1194 bilang default ngunit madalas ilipat sa TCP 443, at nakikinig ang WireGuard sa UDP 51820.
| Family | Rule to add on the gateway | Typical mistake |
|---|---|---|
| WireGuard | UDP port from ListenPort, for the peer address | Assuming 51820 when the config says otherwise |
| OpenVPN | The configured UDP or TCP port, often 443 | Opening 1194 after the server moved |
| SSTP | TCP 443 limited to the gateway IP | Allowing 443 to any destination |
| IKEv2 | UDP 500 and UDP 4500, plus ESP | Allowing only 500 and losing NAT-T |
| L2TP/IPsec | UDP 500, 4500, ESP, and 1701 inside the tunnel | Exposing 1701 to the internet |
| PPTP | TCP 1723 and IP protocol 47 | Writing a rule for TCP 47 |
Ituring ang mga numerong ito bilang default na halaga at hindi bilang mahigpit na katangian. Gumagamit ang interface ng WireGuard ng anumang port sa pakikinig na idinedeklara ng konfigurasyon nito, at ang server ng OpenVPN ay maaaring umupo sa anumang port na pinili ng administrador. Basahin ang konfigurasyon ng server bago isulat ang tuntunin, dahil ang firewall na binuksan para sa 1194 ay walang nagagawa para sa server na inilipat sa 443.
Ang ikatlong kolum ang lugar kung saan nagkakamali ang karamihan ng mga tiket ng pagbabago. Umiiral ang tuntunin, ngunit itinuturo nito ang maling destinasyon, maling direksyon o maling transportasyon.
Ang GRE at ESP ay mga numero ng protokol, hindi mga port
Walang anumang port ang GRE at ESP, kaya ang form ng firewall na tumatanggap lamang ng mga numero ng port ay hindi maipahayag ang mga ito. Ang GRE ay protokol IP 47 at ang ESP ay protokol IP 50, parehong itinatapat sa pamamagitan ng field ng protokol sa header ng IP. Ang tuntuning isinulat bilang port TCP 47 ay hindi tumatapat sa anuman, at ganoon ang hitsura ng patakarang PPTP na parang tama at pinapabagsak pa rin ang bawat pakete pagkatapos ng pagkakamay.
Itinatago ito ng mga router sa bahay sa likod ng kahon ng pagpasa na naglalagay ng tuntunin ng protokol at, para sa GRE, ng katulong ng NAT na kailangan upang imapa ang daloy. Sa tunay na firewall, ikaw mismo ang nagdaragdag ng protokol: payagan ang protokol IP 47 patungo sa server ng PPTP, payagan ang protokol IP 50 patungo sa gateway ng IPsec. Kung saan walang field ng protokol ang plataporma, ang encapsulation ang labasan, kaya nakakabalik ang IKEv2 sa UDP 4500 at kaya hindi kailanman nahaharap ang OpenVPN at WireGuard sa problemang ito.
Suriin kung ano talaga ang tinatapat ng tuntunin bago sisihin ang kliyente. Ang counter ng pakete na nananatiling zero sa gateway ay nagsasabing hindi kailanman nagpaputok ang tuntunin, at walang dami ng muling pag-install sa panig ng kliyente ang makakapagbago niyon.
Binabago ng direksyon, estado at NAT ang sagot
Ang kliyenteng tumatawag palabas at ang gateway na nakikinig papasok ay magkaibang pangangailangan, at ang parehong listahan ng port ay maaaring tama sa isang direksyon at mali sa kabila. Sinusubaybayan ng firewall na may estado ang daloy ng UDP sa 500 at 4500 at hinahayaang bumalik ang mga sagot nang walang ikalawang tuntunin. Hindi nagdadala ng port ang ESP at GRE, kaya walang makakapitan ang kagamitang NAT at kailangan nito ng katulong o encapsulation upang sundan ang sesyon.
Ang pagtawid ng NAT ang bahaging madalas makaligtaan. Nagsisimula ang IKEv2 sa UDP 500, natutukoy ang kagamitang NAT at nagpapatuloy sa UDP 4500, kaya ang patakarang nagpapahintulot lamang ng 500 ay nagbibigay ng tunnel na maitatatag at pagkatapos ay tatahimik. Ganoon din ang ginagawa ng L2TP/IPsec. Kung ang iyong capture ay nagpapakita ng unang pagpapalitan ngunit walang tuloy-tuloy na trapiko, maghanap ng tuntuning humihinto sa 500.
Itala ang direksyon sa bawat tuntunin. «Payagan ang UDP 4500» ay walang ibig sabihin hanggang sabihin mo kung saan galing at saan patungo, at ang tuntuning tama para sa gumagalaang kliyente ay karaniwang mali para sa kapares na site-sa-site.
Suriin ang bawat landas gamit ang capture
Patakbuhin ang capture sa gateway, hindi sa kliyente: ang kliyente ay nagtatala lamang ng dumating. Sinasaklaw ng mga filter na ito ang mga pamilya sa itaas at ipinapakita kung aling yugto ang kulang:
sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50Basahin ang output bilang isang pagkakasunod-sunod. Kapag lumitaw ang pakikipag-ayos ngunit wala ang protokol ng kargada, nangyayari ang pagbagsak sa isang lugar sa pagitan ng kliyente at gateway. Kapag lumitaw ang dalawa at nabigo pa rin ang pahina, ang firewall ay hindi na ang pinaghihinalaan; tingnan ang routing, DNS o ang pool ng address na ibinigay sa kliyente.
Sa makinang walang tcpdump, ang parehong ebidensya ay nagmumula sa mga counter ng interface at tuntunin. Pumapasok ang mga byte ngunit hindi lumalabas sa interface ng tunnel — ito ay tumuturo sa daan pabalik at hindi sa unang tuntunin ng pagpapahintulot.
Mag-iwan ng hanay ng tuntunin na kayang ipagtanggol
Ang SSTP sa TCP 443 ay hindi matutukoy na iba sa ordinaryong HTTPS ng anumang filter na nakabatay sa port, at iyon ang layunin kapag ang network ay nagpapahintulot lamang ng trapiko sa web. Kaya rin dapat pangalanan ng tuntunin para sa 443 ang gateway bilang destinasyon sa halip na buong internet. Burahin ang mga pansamantalang tuntunin mula-sa-kahit-ano-patungo-sa-kahit-ano sa sandaling gumana ang tunnel. Isulat kung aling tuntunin ang tumapat, ang numero ng protokol kung mayroon, at ang direksyon, upang ang susunod na tao ay magsimula sa ebidensya.
Ginagawang nakikita ng mga cloud gateway na punto-sa-site ang pagpipilian: ang na-download na profile ay gumagamit ng SSTP sa 443 o IKEv2 sa 500 at 4500, at dapat mong buksan lamang ang pinipili talaga ng profile. Hindi sulit ang PPTP para sa pagbubukod ng GRE sa modernong network, dahil madalas na itinatapon ng mga mobile carrier ang protokol 47 anuman ang iyong firewall. Bago isara ang tiket, tiyakin na tumatapat ang tuntunin sa port sa konfigurasyon ng server, nakatakda ang field ng protokol kung saan kailangan ito ng pamilya, at ang destinasyon ay ang gateway at hindi anumang address.