Bitta OpenVPN porti, uchta xizmat: ichki portlar nima uchun muhim

Bitta SSH seansi, bitta veb-ilova va bitta nom qidiruvi portlar uchun tortishmasdan bitta VPN ulanishini baham ko'rishi mumkin. Mijoz shlyuzga bitta shifrlangan oqim quradi va har bir dastur suhbati uning ichida harakatlanadi. Tashqarida faqat tunnelning o'z transporti va porti ko'rinadi. Ichkarida har bir xizmat o'z portini saqlaydi va baribir o'z ruxsatini talab qiladi.

Tashqi oqim nima olib yuradi va nimani yashiradi

Mijoz har bir paketni mashinadan chiqishdan oldin tunnel transportiga o'raydi. Bu tashqi oqim bitta manzil portiga ega, u VPN sozlanganda qat'iylashtirilgan. O'ram ichida har bir asl paket o'zi mo'ljallagan xizmatning manzili va portini saqlaydi. Shlyuz o'ramni olib tashlaydi va ichki sarlavha bo'yicha yo'naltiradi, shuning uchun manzil tarmoqdan kelayotgan oddiy mijozni ko'radi.

Shuning uchun WAN interfeysidagi ushlash uchta emas, bitta suhbatni ko'rsatadi. Ichki portlar faqat dekapsulyatsiyadan keyin ko'rinadi. Shuning uchun bitta xavfsizlik devori teshigi SSH, HTTPS va DNSni bir vaqtda olib o'tishi mumkin.

# WAN side: one outer tuple, whatever the inner services are
tcpdump -ni wan0 'udp port 443'
# tunnel side: the inner tuples appear after decapsulation
tcpdump -ni tun0

TUN/TAP hujjati yo'naltirilgan TUN qurilmasi yadro va foydalanuvchi fazosi jarayoni o'rtasida IP paketlarni uzatadigan topshirishni tavsiflaydi. Aynan shu topshirish ichki sarlavhani shlyuzning yo'naltirish va xavfsizlik devori kodiga ko'rinadigan qiladi. Shuningdek, tashqi port qaysi xizmatlarga ruxsat berilgani haqida nima uchun hech narsa aytmasligini tushuntiradi.

NAT yo'naltirishi dasturlarga emas, tinglovchiga tegishli

IPv4 NAT orqasidagi o'z-o'ziga xizmat ko'rsatadigan shlyuz bitta kiruvchi tarjimani talab qiladi: ommaviy manzil va port VPN tinglovchisiga bog'lanadi. Faqat tunnel foydalanuvchilari yetib borishi uchun SSH, HTTPS yoki DNS uchun hech qanday qoida kerak emas. Bu portlarni e'lon qilish tunnel allaqachon himoya qiladigan xizmatlarni ochib qo'yardi. Yo'naltirish qoidasi tinglovchining yetib borishini tavsiflaydi, ichkaridagi biror narsaga ruxsat emas.

Buning aksi ham to'g'ri. Tunnel portini ochish boshqa hech narsani ochmaydi, shuning uchun faqat tunnel orqali yetib boriladigan xizmat ommaviy yuzasini yopiq saqlaydi. Aynan shu ajratish odatda xizmatni maxfiy saqlash sababidir.

Kirish haqiqatda ichki siyosatda hal qilinadi

Shifrlash yo'lni himoya qiladi; u manzilga vakolat bermaydi. Mijoz yo'llari qaysi prefikslar tunnelga kirishini tanlaydi, shlyuzning yo'naltirish siyosati paketlar undan chiqishi mumkinligini hal qiladi, manzilning xavfsizlik devori va kirishi esa xizmat javob berishini hal qiladi. DNS eng aniq holat: so'rovlarni olib o'tish rezolverning ularni sizning mijozlar havozingizdan qabul qilishiga olib kelmaydi. Har bir qatlam mustaqil ravishda yo'q deb ayta oladi.

Har bir xizmatni tunnel orqali alohida sinab ko'ring. Muvaffaqiyatli qidiruv veb-port haqida hech narsa demaydi, muvaffaqiyatli veb-so'rov esa SSH haqida hech narsa demaydi.

dig @10.40.0.53 app.corp.example
nc -vz 10.40.0.10 8443
ssh -p 2222 [email protected]

Tunnel ishlayotganda hamma narsa muvaffaqiyatsiz bo'lsa, avval mijozning yo'l jadvalini o'qing. Bitta xizmat muvaffaqiyatsiz bo'lib, boshqalari ishlayotganda, nosozlik o'sha manzilda bo'ladi. Bu ikki kuzatuv turli egalarga ishora qiladi va ularni aralashtirish vaqtni yo'qotadi.

WireGuard ham xuddi shu chiziqni tortadi

WireGuard tashqi tinglovchisini ListenPort deb nomlaydi va ichki dastur baribir o'ziga kerakli xizmat portidan foydalanadi. AllowedIPs yo'naltirilgan prefikslar to'plami, ruxsat etilgan xizmat portlari ro'yxati emas. Uni port ruxsatlari ro'yxati sifatida o'qish tunnel qiladigan ishga to'g'ri kelmaydigan qoidalarni keltirib chiqaradi. Nomlash boshqacha; qatlamlash emas.

Xizmat xostning o'zida ishlayotgan bo'lsa mahalliy kirish siyosatida, yoki o'sha xostning orqasida bo'lsa yo'naltirish siyosatida ruxsat bering. Bu farq qaysi qoidalar to'plami paketni ko'rishini hal qiladi.

Umumiy shakl ko'plab ichki suhbatlarga ega bitta tashqi transportdir. Bir nechta tashqi almashinuv yoki boshqa IP protokoli kerak bo'lgan mahsulotlar bitta ommaviy port namunasining aynan shu dizaynni tavsiflashini, har bir VPNni emasligini eslatadi.