Güvenlik duvarında hangi VPN bağlantı noktaları açılmalı: protokol protokol

Bir VPN tünelinin güvenlik duvarını aşıp aşmayacağını iki ayrı kural belirler: istemcinin çevirdiği bağlantı noktası ve yükü taşıyan protokol. Yalnızca ilkini açarsanız tünel kimlik doğrular, ardından hiçbir veri akmaz. En azı PPTP için bir TCP bağlantı noktası ve GRE, L2TP/IPsec ile IKEv2 için iki UDP bağlantı noktası ve ESP, SSTP, OpenVPN ve WireGuard için ise birer bağlantı noktasıdır. Yön, durum izleme ve NAT gerisini belirler.

İstemcinin çevirdiği bağlantı noktasından başlayın

Her ailenin istemcinin ilk temas kurduğu bir giriş noktası vardır ve izin kuralınızın adlandırması gereken tam olarak o giriş noktasıdır. PPTP istemcileri TCP 1723'e bağlanır. L2TP/IPsec, UDP 500 üzerinde IKE başlatır ve NAT geçişi kullanıldığında UDP 4500'e geçer; L2TP çerçevesinin kendisi tünelin içinde UDP 1701 üzerindedir. SSTP oturumu TCP 443 üzerinde TLS içine sarar, IKEv2 UDP 500 ve 4500 üzerinde pazarlık eder, OpenVPN varsayılan olarak UDP 1194 kullanır ama sık sık TCP 443'e taşınır ve WireGuard UDP 51820'de dinler.

Bu sayıları sabit özellikler değil varsayılan değerler olarak görün. Bir WireGuard arayüzü yapılandırmasının bildirdiği dinleme bağlantı noktasını kullanır ve bir OpenVPN sunucusu yöneticinin seçtiği herhangi bir bağlantı noktasında oturabilir. Kuralı yazmadan önce sunucu yapılandırmasını okuyun, çünkü 1194 için açılan bir güvenlik duvarı 443'e taşınan sunucuya hiçbir şey yapmaz.

Üçüncü sütun, değişiklik biletlerinin çoğunun ters gittiği yerdir. Kural vardır, ancak yanlış hedefe, yanlış yöne veya yanlış taşımaya işaret eder.

GRE ve ESP port numarasıdır, bağlantı noktası değil

GRE ve ESP'nin hiç bağlantı noktası yoktur, bu yüzden yalnızca bağlantı noktası numarası kabul eden bir güvenlik duvarı formu onları ifade edemez. GRE IP protokolü 47, ESP ise IP protokolü 50'dir; ikisi de IP başlığındaki protokol alanıyla eşleştirilir. TCP bağlantı noktası 47 olarak yazılan bir kural hiçbir şeyle eşleşmez ve PPTP ilkesi böylece doğru görünüp el sıkışmadan sonra her paketi düşürür.

Ev yönlendiricileri bunu, protokol kuralını ve GRE için akışı eşlemeye gereken NAT yardımcısını kuran bir geçiş onay kutusunun arkasına saklar. Gerçek bir güvenlik duvarında protokolü kendiniz eklersiniz: PPTP sunucusuna IP protokolü 47'ye izin verin, IPsec geçidine IP protokolü 50'ye izin verin. Platformun protokol alanı sunmadığı yerde kapsülleme çıkış yoludur, bu yüzden IKEv2 UDP 4500'e geri düşebilir ve bu yüzden OpenVPN ile WireGuard sorunla hiç karşılaşmaz.

İstemciyi suçlamadan önce kuralın gerçekte neyle eşleştiğini denetleyin. Geçitte sıfırda kalan bir paket sayacı kuralın hiç tetiklenmediğini söyler, istemci tarafında kaç kez yeniden kurulum yapılırsa yapılsın bu değişmez.

Yön, durum ve NAT yanıtı değiştirir

Dışarı çeviren istemci ile içeri dinleyen geçit farklı gereksinimlerdir ve aynı bağlantı noktası listesi bir yönde doğru, diğerinde yanlış olabilir. Durum izleyen bir güvenlik duvarı 500 ve 4500 üzerindeki UDP akışını izler ve ikinci bir kural olmadan yanıtların geri dönmesine izin verir. ESP ve GRE bağlantı noktası taşımaz, bu yüzden NAT cihazının tutunacak bir şeyi yoktur ve oturumu izlemek için yardımcıya veya kapsüllemeye ihtiyaç duyar.

NAT geçişi gözden kaçan kısımdır. IKEv2 UDP 500'de başlar, bir NAT cihazı algılar ve UDP 4500'de devam eder, bu yüzden yalnızca 500'e izin veren bir ilke kurulup sonra sessizleşen bir tünel verir. L2TP/IPsec de aynı hamleyi yapar. Kaydınız ilk alışverişi gösterip sürekli trafik göstermiyorsa 500'de duran bir kural arayın.

Her kurala yönü yazın. «UDP 4500'e izin ver» nereden nereye olduğunu söyleyene kadar hiçbir şey ifade etmez ve dolaşan bir istemci için doğru olan kural genellikle site-site eşi için yanlıştır.

Her yolu bir kayıtla denetleyin

Kaydı istemcide değil geçitte çalıştırın: istemci yalnızca geleni kaydeder. Bu filtreler yukarıdaki aileleri kapsar ve hangi aşamanın eksik olduğunu gösterir:

sudo tcpdump -ni any tcp port 1723
sudo tcpdump -ni any udp port 500 or udp port 4500
sudo tcpdump -ni any proto gre
sudo tcpdump -ni any proto 50

Çıktıyı bir dizi olarak okuyun. Pazarlık görünüp yük protokolü görünmüyorsa, düşme istemci ile geçit arasında bir yerde olur. İkisi de görünüp sayfa yine de başarısız oluyorsa güvenlik duvarı artık şüpheli değildir; yönlendirmeye, DNS'e veya istemciye verilen adres havuzuna bakın.

tcpdump olmayan bir makinede aynı kanıtlar arayüz ve kural sayaçlarından gelir. Tünel arayüzünde bayt girip çıkmıyorsa bu, ilk izin kuralına değil dönüş yoluna işaret eder.

Savunabileceğiniz bir kural kümesi bırakın

TCP 443 üzerindeki SSTP, bağlantı noktası tabanlı her filtre için sıradan HTTPS'ten ayırt edilemez ve bir ağ yalnızca web trafiğine izin verdiğinde amaç tam da budur. 443 kuralının hedef olarak tüm interneti değil geçidi adlandırması da bu yüzdendir. Tünel çalışır çalışmaz geçici her-şeyden-her-yere kurallarını silin. Hangi kuralın eşleştiğini, varsa protokol numarasını ve yönü yazın ki sıradaki kişi kanıtla başlasın.

Bulut noktadan-siteye geçitleri seçimi görünür kılar: indirilen profil ya 443'te SSTP ya da 500 ve 4500'de IKEv2 kullanır ve yalnızca profilin gerçekten seçtiğini açmalısınız. PPTP modern bir ağda GRE istisnasına değmez, çünkü mobil operatörler güvenlik duvarınızdan bağımsız olarak protokol 47'yi sık sık düşürür. Bileti kapatmadan önce kuralın sunucu yapılandırmasındaki bağlantı noktasıyla eşleştiğini, protokol alanının ailenin ihtiyaç duyduğu yerde ayarlandığını ve hedefin herhangi bir adres değil geçit olduğunu doğrulayın.