Sabit UDP bağlantı noktaları port yönlendirmesini atlayabilir, ama her NAT'ı değil

Durum bilgisi tutan bir güvenlik duvarı, iki uç da tek bir bağlantı noktasını sabitlediğinde eşin paketini dönüş trafiği olarak kabul eder. İşte bu ne zaman çalışır ve onu sessizce ne sona erdirir.

İki ev yönlendiricisi, yönlendirilmiş tek bir bağlantı noktası yok ve bazen yine de bağlanan bir VPN. UDP buna izin verir, çünkü güvenlik duvarı, makinenin zaten başlattığı bir akışla eşleştirebildiği paketi kabul eder. Bu bir özellik değil, koşullu bir hiledir ve güvenlik duvarının neyi karşılaştırdığını bildiğinizde koşulları söylemek kolaydır. Aynı profillerin farklı ağlarda farklı davranmasının nedeni de budur.

Güvenlik duvarının yaptığı karşılaştırma

Her giden datagram kısa ömürlü bir kayıt oluşturur: kaynak adresi, kaynak bağlantı noktası, hedef adresi, hedef bağlantı noktası. Kayıtla eşleşen her şey yanıt sayılır ve geçirilir. Gelen trafik kurallarının bunda payı yoktur.

Yani soru güvenlik duvarının eşi içeri alıp almadığı değil. Soru, eşin paketinin kaydın beklediği yanıta benzeyip benzemediğidir. O dört parçalı tuple'ın bir alanını değiştirin, paket bir yabancıya dönüşür. Bu yüzden çalışan bir kurulum yalnızca bağlantı noktası numarası değiştiğinde bozulabilir ve bu yüzden aynı bağlantı noktası bir yönlendiricide çalışıp bir sonrakinde başarısız olabilir.

Yerel kaynak bağlantı noktasını sabitleyin, aynı numara alışverişin iki tarafında da görünür. Bütün mekanizma budur ve hilenin neden gizemli değil kırılgan olduğunu açıklar.

Her uçta bir bağlantı noktasını sabitlemek

OpenVPN'in varsayılan UDP bağlantı noktası 1194'tür ve lport hangi bağlantı noktasından gönderdiğini ayarlar. Her iki eşi de sabitleyin, her birinin giden tuple'ı diğerinin dinlediği bir bağlantı noktasını gösterir:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Bu yalnızca aralarındaki hiçbir yönlendirici kaynak bağlantı noktasını yeniden yazmadığı sürece çalışır. Paketler bir yakalamada görünüp tünel açılmıyorsa, yeniden yazma ilk şüphelidir.

Tuple'ın eşleşmeyi bıraktığı yer

Hedefe göre eşleyen bir NAT her eşe farklı bir dış bağlantı noktası verir. Eşinize kullanması söylenen adres ona ulaşan adres değildir, bu yüzden gelen paket hiçbir şeyle eşleşmez ve sessizce atılır.

Operatör düzeyinde çeviri, katmanlı NAT ve bağlantı noktası rastgeleleştirmesi hepsi aynı şekilde biter. Adreslere dokunmadan bağlantı noktalarını yeniden yazan her ara kutu da öyle.

Akış taşımaları daha kötü durumda. TCP el sıkışması adım adım izlenir, bu yüzden TCP tabanlı bir VPN bu şekilde hiç delinemez ve yolun bir yerinde bir dinleyiciye ihtiyaç duyar.

Genellikle önce bir taraf başarısız olur

Pratikte iki ağ nadiren aynı davranır. Bir yönlendirici öngörülebilir bir eşleme verebilirken diğeri hedefe göre bağlantı noktaları verir ve sonuç, iki ev arasında çalışan ama mobil ağdan başarısız olan bir yapılandırmadır. Birbirini çürüten raporlar genellikle iki farklı yönlendirici çiftini anlatır. İki yazardan hiçbiri yanlış değildir ve iki sonuçtan hiçbiri genellenemez.

Profillere dokunmadan önce paketi hangi tarafın düşürdüğünü bulun. İki uçtaki yakalamalar bunu tek denemede çözer: A'dan çıkıp B'ye hiç ulaşmayan datagramlar akışın yolda yeniden yazıldığını, B'ye ulaşıp yanıt dönmeyen datagramlar ise güvenlik duvarının onları ilişkili kabul etmediğini gösterir.

Ortak IPv6 adreslerine sahip iki eş tüm sorunu atlar. Çeviri olmadan eşleştirilecek bir şey yoktur, bu yüzden eşleri adlandıran bir güvenlik duvarı kuralı yeterlidir ve tasarım yönlendirici davranışına bağımlı olmayı bırakır.

Denemeyi ne zaman bırakmalı

Ortak adresi olan bir ana makine güvenilir yanıttır. Tüneli iki eş için de sonlandırabilir veya yalnızca birbirlerinin güncel dış adresini bulmalarına yardım edebilir ve NAT'lar ne yaparsa yapsın iki düzen de çalışır. İlke izin veriyorsa yönetilen bir üst katman aynı koordinasyonu sağlar.

Bunların hiçbiri kapatılmış bir güvenlik duvarına ihtiyaç duymaz. Doğrudan bağlantıyı kazanmak için korumayı kapatmak, doğrudan denemeyi çekici kılan nedeni çöpe atar ve makineyi test boyunca açık bırakır.

Önce doğrudan düzeni deneyin, sonra gördüklerinizi yazın. NAT davranışı ve onu gösteren yakalama, sonunda kullandığınız bağlantı noktası çiftinden daha değerlidir, çünkü sonraki ağ farklı olacaktır. OpenVPN 2.6 kılavuzu belgeler lport ve bunun bağlı olduğu remote seçeneklerini.

İlgili makaleler