Belgilangan UDP portlar port yo‘naltirishdan o‘tishi mumkin, ammo har bir NAT emas

Ikkita uy routeri, yo‘naltirilgan port yo‘q va ba’zan baribir ulanadigan VPN. UDP bunga ruxsat beradi, chunki xavfsizlik devori mashina allaqachon boshlagan oqim bilan moslashtira oladigan paketni qabul qiladi. Bu xususiyat emas, shartli hiyla, va xavfsizlik devori nimani taqqoslashini bilsangiz shartlarni aytish oson. Aynan shu sabab bir xil profillar turli tarmoqlarda boshqacha ishlaydi.

Xavfsizlik devori qiladigan taqqoslash

Har bir chiquvchi datagramma qisqa muddatli yozuv yaratadi: manba manzili, manba porti, borish manzili, borish porti. Yozuvga mos keladigan har qanday narsa javob deb qabul qilinadi va o‘tkaziladi. Kiruvchi qoidalarning bunga aloqasi yo‘q.

Demak savol xavfsizlik devori sherikni ichkariga qo‘yib yuboradimi degani emas. Savol sherikning paketi yozuv kutayotgan javobga o‘xshaydimi degani. O‘sha to‘rt qismli kortejning bitta maydonini o‘zgartiring va paket begona bo‘lib qoladi. Shuning uchun ishlayotgan sozlama faqat port raqami o‘zgarganda buzilishi mumkin, va shuning uchun bir port bitta routerda ishlab, keyingisida muvaffaqiyatsiz bo‘lishi mumkin.

Mahalliy manba portini mahkamlang, va o‘sha raqam almashinuvning ikki tomonida ko‘rinadi. Butun mexanizm shu, va hiyla nega sirli emas, nozik ekanini tushuntiradi.

Har bir uchida bitta portni mahkamlash

OpenVPN’ning standart UDP porti 1194, va lport u qaysi portdan yuborishini belgilaydi. Ikkala sherikni ham mahkamlang, va har birining chiquvchi korteji ikkinchisi tinglayotgan portga ishora qiladi:

# peer A
lport 1194
remote 198.51.100.20 1194
# peer B
lport 1194
remote 203.0.113.10 1194

Bu faqat ular orasidagi hech bir router manba portini qayta yozmasa ishlaydi. Paketlar ushlashda ko‘rinsa-yu tunnel ko‘tarilmasa, qayta yozish birinchi gumondor.

Kortej mos kelishdan to‘xtaydigan joy

Manzil bo‘yicha xaritalaydigan NAT har bir sherikka boshqa tashqi port beradi. Sherigingizga ishlatish aytilgan manzil unga yetib boradigan manzil emas, shuning uchun kiruvchi paket hech narsaga mos kelmaydi va jimgina tashlab yuboriladi.

Operator darajasidagi tarjima, qatlamli NAT va portlarni tasodifiylashtirish hammasi bir xil tugaydi. Manzillarga tegmasdan portlarni qayta yozadigan har qanday oraliq quti ham shunday.

Oqim transportlari ahvoli yomonroq. TCP qo‘l berishish bosqichma-bosqich kuzatiladi, shuning uchun TCP asosidagi VPN bu usulda umuman teshilmaydi va yo‘lda qayerdadir tinglovchi kerak.

Odatda bir tomon birinchi bo‘lib muvaffaqiyatsizlikka uchraydi

Amalda ikki tarmoq kamdan-kam bir xil ishlaydi. Bitta router bashorat qilsa bo‘ladigan xaritalash bersa, ikkinchisi manzil bo‘yicha portlar beradi, va natija ikki uy orasida ishlab, mobil tarmoqdan muvaffaqiyatsizlikka uchraydigan konfiguratsiya bo‘ladi. Bir-biriga qarama-qarshi hisobotlar odatda ikki xil router juftini tasvirlaydi. Hech bir muallif xato emas, va hech bir natija umumlashtirilmaydi.

Profillarga tegishdan oldin paketni qaysi tomon tashlaganini aniqlang. Ikki uchdagi ushlash buni bitta urinishda hal qiladi: A dan chiqib B ga hech qachon yetmaydigan datagrammalar oqim yo‘lda qayta yozilganini, B ga yetib javob qaytmaydigan datagrammalar esa xavfsizlik devori ularni bog‘liq deb qabul qilmaganini bildiradi.

Ommaviy IPv6 manzillariga ega ikki sherik butun muammoni chetlab o‘tadi. Tarjimasiz moslashtiradigan narsa yo‘q, shuning uchun sheriklarni nomlaydigan xavfsizlik devori qoidasi yetarli va dizayn router xatti-harakatiga bog‘liq bo‘lishni to‘xtatadi.

Qachon urinishni to‘xtatish kerak

Ommaviy manzilga ega xost ishonchli javob. U ikkala sherik uchun tunnelni tugatishi mumkin, yoki shunchaki ularga bir-birining joriy tashqi manzilini topishga yordam beradi, va NAT nima qilsa ham ikkala tuzilma ishlaydi. Siyosat ruxsat bersa, boshqariladigan overlay xuddi shu muvofiqlashtirishni beradi.

Bularning hech biriga o‘chirilgan xavfsizlik devori kerak emas. To‘g‘ridan-to‘g‘ri ulanishni yutish uchun himoyani o‘chirish to‘g‘ridan-to‘g‘ri urinishni jozibali qilgan sababni tashlaydi va mashinani sinovning butun davomida ochiq qoldiradi.

Avval to‘g‘ridan-to‘g‘ri tuzilmani sinab ko‘ring, keyin ko‘rganlaringizni yozib qo‘ying. NAT xatti-harakati va uni ko‘rsatgan ushlash oxir-oqibat ishlatgan port juftidan qimmatroq, chunki keyingi tarmoq boshqacha bo‘ladi. OpenVPN 2.6 qo‘llanmasi hujjatlashtiradi lport va bu bog‘liq bo‘lgan remote parametrlarini.