Ev VPN sunucusu için port tetikleme ve port yönlendirme
Tetikleme, giden trafikten sonra bir eşleme açar; yönlendirme ise portu kalıcı olarak eşler. Ev VPN sunucusu ikincisine ihtiyaç duyar ve gerçek dinleyiciyle sınırlandırılmalıdır.
Port yönlendirme ve port tetikleme çoğu ev yönlendiricisinde aynı menüde yer alır, bu yüzden tek bir işi yapmanın iki yolu olarak görülürler. Yönlendirme statik bir kuraldır: WAN portuna gelen bir bağlantı sabit bir iç adrese ve porta çevrilir, başka bir şey olsa da olmasa da. Tetikleme koşulludur: yönlendirici giden trafiği izler ve eşleşen bir bağlantı dışarı çıktıktan sonra gelen bir eşleme açar. VPN sunucusu önce başkasının bağlanmasını bekler, dolayısıyla tam da bu koşul onun asla karşılayamayacağı tek şeydir.
Farklı yaşam döngülerine sahip iki kural
IPv4 NAT durum tutar. İç bir ana bilgisayar dışarı paket gönderdiğinde yönlendirici, yanıtların geri dönüş yolunu bulması için bir eşleme oluşturur; hiçbir eşlemeyle eşleşmeyen gelen paket atılır ve bu davranış güncellenmemiş bir masaüstünü internetin dışında tutar. Yönlendirme elle eklenen kalıcı bir çeviri girdisidir. Tetikleme ise trafik deseniyle korunan geçici bir deliktir.
Pratik fark zamandır. Yönlendirme kaydedildiği andan biri silene kadar vardır. Tetiklenen eşleme tetikleyici çalıştıktan sonra vardır ve boşta kalma zamanlayıcısıyla kapanır; tüketici donanımında dakikalarla ölçülür veya yeniden başlatmada hemen kapanır.
Hiçbiri soyut anlamda daha güvenli değildir. Yönlendirme bir portu sürekli açık tutar; tetikleyici onu yalnızca belirli bir giden trafikten sonra açar. İlk paketi bir yabancıdan kabul etmesi gereken bir hizmet için ikisinden yalnızca biri işe uyar.
Tetikleme neden bir sunucuyu yayımlamaz
VPN sunucusu tasarımı gereği pasiftir. Karşı taraf, ister kafedeki bir dizüstü ister mobil verideki bir telefon olsun, ilk paketi gönderir ve yönlendiricinin onun için hiçbir eşlemesi yoktur. İçeride hiçbir şey tetikleyici portuna trafik başlatmadı, bu yüzden kural asla çalışmaz ve bağlantı el sıkışma başlamadan ölür.
Tetiklemenin çalışıyor göründüğü yerlerde tetikleyici portunda trafik üreten başka bir şey vardır: LAN'daki bir istemci, bir izleme sondası veya sunucunun kendi giden kontrolleri. O zaman eşleme yalnızca o tek ana bilgisayar için açılır ve trafik durunca kapanır, böylece sonraki dış taraf yine başarısız olurken ilk başarı günlükte kanıt gibi durur.
Tetikleme genellikle tek ana bilgisayar içindir. Birçok uygulama aynı anda yalnızca bir iç cihazın eşlemeyi tutmasına izin verir; bu, birkaç tarafa yanıt vermesi gereken bir sunucu için tamamen yanlıştır. Özellik, dışa doğru bir denetim bağlantısı açan ve ikinci bir portta gelen veri bekleyen uygulamalar için tasarlandı ve hâlâ o biçime uyuyor.
Yönlendirme gerçekte neyi eşler
Yönlendirme tek bir çeviri girdisidir: WAN portu ve protokolü iç adres ve porta. Diğer uçta hâlihazırda çalışan bir dinleyiciye ihtiyaç duyar ve iç adresin yerinde kalmasını gerektirir. Başka bir makineye geçen bir DHCP kirası her tüneli sessizce yanlış ana bilgisayara gönderir, bu yüzden kuraldan önce rezervasyonu oluşturun.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
Protokol, formun ima ettiğinden daha önemlidir. UDP üzerinden OpenVPN bir UDP yönlendirmesi gerektirir, WireGuard UDP gerektirir ve IPsec verisi ESP, IP protokolü 50 olarak gelir, hiç portu yoktur. Yalnızca TCP veya UDP kabul eden bir yönlendirme formu bunu ifade edemez, bu yüzden IPsec port kuralı yerine passthrough veya statik bire bir eşleme gerektirir.
Yönlendiricinizin üstündeki katman
Yönlendirme yalnızca size ait olan çeviriyi denetler. WAN adresi sizin değilse, ki bu operatör NAT'ı arkasında abonelerin 100.64.0.0/10 paylaştığı durumdur, RFC 6598'de açıklandığı gibi, gelen bağlantı yönlendiricinize hiç ulaşmaz çünkü sağlayıcı önce çevirmiştir. Cihazınızdaki hiçbir kural bu sırayı düzeltemez.
Çifte NAT aynı sorunun küçük hâlidir. Yönlendiriciniz ISS yönlendiricisine yönlendirir; onda eşleşen bir kural yoktur ve paketi atar. Ya kuralı dış cihaza ekleyin ya da dış cihazı köprü moduna alın ve kendi cihazınız genel adresi tutsun.
Bu yüzden test dışarıdan gelmelidir. Aynı LAN'dan genel adres üzerinden yapılan test hairpin NAT desteğine bağlıdır ve kuralla ilgisi olmayan nedenlerle geçebilir veya başarısız olabilir; mobil verideki bir telefon ya da başka ağdaki bir arkadaş daha temiz kontroldür.
Kuralı sınırlayın, sonra iki yarıyı da doğrulayın
Bir portu bir adrese yönlendirin. İlk denemeler başarısız olduğu için eklenen bir aralık, yönetim arayüzlerinin internete çıkma yoludur ve VPN dinleyicisi yanında yayımlanmış bir yönlendirici yönetim sayfasına ihtiyaç duymaz.
O dinleyiciyi zaten koruyan her şeyi koruyun: sertifika veya anahtar kimliği, ana bilgisayar güvenlik duvarı, güncel paket sürümleri. Yönlendirme bir paketi içeri alır; kimlik doğrulama paketin tünele dönüşüp dönüşmeyeceğine karar verir ve bir şeyler ters gittiğinde bunlar iki ayrı arızadır.
Doğrulamanın iki yarısı vardır. El sıkışma harici bir ağdan tamamlanmalı, ardından sunucunun arkasındaki özel bir kaynak tünelden yanıt vermelidir. Yönlendirme tünel bağlantısını içeri alır ve fazlasını değil; 10.8.0.0/24 için yönlendirme ve yetkilendirme başka bir ekrandaki başka bir ayardır.
Üç soruyla karar verin
Üç soru seçimi herhangi bir karşılaştırma tablosundan daha hızlı çözer:
- Dışarıdan bir şey ilk paket olarak bağlanıyor mu? Öyleyse yönlendirme veya bir aktarıcı kullanın. Tetikleme, asla var olmayacak giden trafik olmadan açılamaz.
- Delik boşta kalma süresinden uzun yaşamalı mı? Öyleyse yönlendirme kullanın, çünkü tetiklenen eşleme kendi programına göre kapanır.
- WAN adresi yayımlamak için sizin mi? Değilse, herhangi bir kuralı düzenlemeden önce üst katmanı düzeltin.
Üçünün de yanıtı hayırsa, ki bu kendi kendine ticari bir sağlayıcıyı arayan bir dizüstünün durumudur, kuralların hiçbiri gerekmez. NAT arkasındaki bir istemci çalışır çünkü durum tutan eşlemeyi kendisi oluşturur ve bu, gece yarısı port yönlendirme sayfası okuyan insanların çoğunu kapsar.