VPN oqimida mijozning manba porti va serverning tinglovchisi
Bitta tunnelda ikkita port raqamini solishtiring: serverning qat'iy tinglovchisi va mijozning qisqa muddatli manbasi, va ular orasida router tarjimasi qanday joylashgan.
Bitta suhbatda ikkita raqam ko'rinadi va ikkalasi ham xato emas. Server jurnali xizmatni taklif qiluvchi tinglovchini ko'rsatadi, noutbuk datagram yuborgan soketni ko'rsatadi, oradagi router esa chiqishda ikkinchisini qayta yozishi mumkin. Suhbatning ikki uchini solishtirish raqamlarni solishtirishdan foydaliroq. Quyidagi taqqoslash tinglovchini, mijoz soketini va tarjima qilingan manbani alohida tutadi, chunki ular turli savollarga javob beradi.
Qarama-qarshi uchlarini tavsiflovchi ikkita raqam
Serverning sozlangan porti mijoz murojaat qiladigan manzil. Uni siyosat belgilaydi, profilda ko'rinadi va server tomonida ochiq bo'lishi kerak. Mijozning manba porti mahalliy ravishda, odatda qisqa muddatli diapazondan tanlanadi va javob tushadigan joy bo'lishi uchun mavjud. U har qayta ulanishda o'zgarishi mumkin va dizaynda hech narsa uning barqarorligiga bog'liq emas.
Oradagi router bu manbani o'zining 'NAT' xaritasiga qayta yozishi mumkin. Shuning uchun serverda ko'rinadigan raqam noutbuk tanlagan raqam bilan ko'pincha hech qanday aloqasi yo'q.
Chiqishda manba raqami qaerda o'zgaradi
Uydirma IPv4 misolini oling: tarjima qiluvchi router orqasidagi mijoz, bitta 'UDP' tinglovchisi bo'lgan server va ikkalasidan o'tadigan bitta datagram. Jadval paketni uchta kuzatuv nuqtasida qayta o'ynatish o'rniga har bir uchni va u bilan nima bo'lishini nomlaydi.
| Endpoint | What stays fixed | What changes on reconnect | Who owns it |
|---|---|---|---|
| Server listener | The service port and the address the profile names | Nothing; the listener does not follow the client | The server operator |
| Client socket | The destination it dials | The local source port, chosen per socket | The client, or its operating system |
| Translated source | Usually the public address of the router | The port, and sometimes the address after a network switch | The NAT device or the upstream carrier |
Manzil har bir satrda doimiy, faqat manbaning o'ziga xosligi o'zgaradi. UDP NAT talablari ichki manzil va portni tashqi xaritadan ajratadi, bu esa aynan ikkinchi va uchinchi satrlar orasidagi farq. Router mijozning manba portini saqlab qolishi yoki boshqasini tanlashi mumkin; saqlanishini ilova taxmin qilmasligi kerak.
Uch uchni xostlarning o'zidan o'qing
Quyidagi ro'yxatlar uch xil mashinadan olingan va birgalikda butun suhbatni ko'rsatadi. Birinchisini serverda, ikkinchisini mijozda, uchinchisini xarita mavjud bo'lgan joyda ishga tushiring. Bitta jurnal satri hech qachon uchtasini ko'rsatmaydi.
ss -lunp 'sport = :1194'
ss -unp | grep 1194
conntrack -L -p udp | grep 1194Birinchi ro'yxat server xizmat portiga bog'langanini isbotlaydi va uni qaysi jarayon egallaganini ko'rsatadi. Ikkinchisi mijozning mahalliy soketi va u murojaat qilgan manzilni ko'rsatadi. Uchinchisi router yaratgan xaritani ko'rsatadi va tarjima qilingan manba faqat shu yerda paydo bo'ladi. Ularni shu tartibda o'qing, ikki raqam endi qarama-qarshi ko'rinmaydi.
Qayta ulanish nimani o'zgartiradi va nimani o'zgartirmaydi
Ba'zi routerlar mijozning manba portini bo'sh bo'lganda saqlaydi, ba'zilari har safar boshqasini ajratadi. Ikkala xatti-harakat ham normal, birinchisini talab qiladigan ilova ikkinchisida buziladi. Qayta ulanish yoki tarmoq almashinuvidan keyin xaritaning o'zgarishi server nosozligi emas: mijoz yangi soket ochadi, router bor narsasini beradi, server esa o'sha tinglovchida yangi manbani ko'radi. Nosozlik server ixtiyoriy mijoz portiga yuborilgan trafikni qabul qiladi deb kutish bo'lardi.
Jamiyatdagi OpenVPN mijozlari bu xatti-harakatni nobind orqali oladi, bu operatsion tizimga mahalliy portni tanlash imkonini beradi; masofaviy port hanuz profildan keladi. Aniq bog'lash ongli tanlov, protokol talabi emas. Server bitta uchni taklif qilishda davom etadi, mijozlar esa o'zlarining mahalliy identifikatsiyalarini tanlaydi.
Yozuvda qatlamlarni alohida belgilang
Tunnel ichida o'z portlari bo'lgan ikkinchi suhbat bor. Tunnel olib yuradigan HTTPS so'rovi manzili TCP 443, tashqi shifrlangan ulanish esa UDP 1194 ishlatadi, shuning uchun tashqi manba portini o'zgartirish ichki xizmatda hech narsani o'zgartirmaydi.
Tashqi qatlamda ham protokol muhim. UDP 1194 va TCP 1194 turli uchlar, 'TCP' tinglovchisi esa raqam mos kelgani uchungina hech qachon UDP datagramini olmaydi. Joylashtirishni hujjatlashtirganda server tinglovchisini, mijoz soketini va tarjima qilingan manbani uchta alohida narsa sifatida belgilang va har biriga transportni qo'shing.
So'ngra siyosat rollarga ergashsin. Server mo'ljallangan transportni o'z tinglovchisida ochadi va baribir hamkorning haqiqiyligini tekshiradi; mijozning xavfsizlik devori kiruvchi xizmatni e'lon qilmasdan o'zining chiquvchi almashinuviga javoblarni qabul qiladi. Holatsiz filtr qaytish yo'nalishini aniq yozib qo'yishni talab qiladi va bu farqning ozoda diagrammalardan tashqarida ham muhim bo'lishining amaliy sababi.