Uy VPN serveri uchun port triggerlash va portni yo’naltirish
Triggerlash chiquvchi trafikdan keyin xaritalashni ochadi; yo’naltirish portni butunlay xaritalaydi. Uy VPN serveriga ikkinchisi kerak, haqiqiy tinglovchiga cheklangan.
Portni yo’naltirish va portni triggerlash ko’pchilik uy routerlarida bitta menyuda turadi, shuning uchun ular bitta ishni bajarishning ikki usuli sifatida qaraladi. Yo’naltirish statik qoida: WAN portiga keladigan kiruvchi ulanish qat’iy ichki manzil va portga aylantiriladi, boshqa narsa bo’layaptimi yo’qmi. Triggerlash shartli: router chiquvchi trafikni kuzatadi va mos ulanish chiqqandan keyingina kiruvchi xaritalashni ochadi. VPN serveri avval boshqa birov ulanishini kutadi, shuning uchun aynan shu shart uning hech qachon bajara olmaydigan yagona narsasi.
Turli hayot sikllariga ega ikki qoida
IPv4 NAT holatni saqlaydi. Ichki host paketni tashqariga yuborganda, router javoblar qaytish yo’lini topishi uchun xaritalash yaratadi; hech qaysi xaritalashga to’g’ri kelmaydigan kiruvchi paket tashlab yuboriladi, va aynan shu xatti-harakat yangilanmagan ish stolini internetdan tashqarida ushlab turadi. Yo’naltirish qo’lda qo’shilgan doimiy tarjima yozuvi. Triggerlash trafik naqshi bilan qo’riqlanadigan vaqtinchalik teshik.
Amaliy farq vaqt. Yo’naltirish saqlangan paytdan boshlab kimdir uni o’chirgunga qadar mavjud. Triggerlangan xaritalash trigger ishga tushgandan keyin mavjud va bo’sh turish taymerida yopiladi, iste’molchi apparatida daqiqalarda o’lchanadi, yoki qayta yuklashda darhol.
Ikkalasi ham mavhum ma’noda xavfsizroq emas. Yo’naltirish bitta portni doimiy ravishda ochib turadi; trigger uni faqat muayyan chiquvchi trafikdan keyin ochadi. Birinchi paketni begonadan qabul qilishi kerak bo’lgan xizmat uchun ikkalasidan faqat bittasi ishga mos keladi.
Nega triggerlash serverni e’lon qilmaydi
VPN server o’z tuzilishiga ko’ra passiv. Qarshi tomon, kafedagi noutbukmi yoki mobil ma’lumotdagi telefonmi, birinchi paketni yuboradi, va routerda unga xaritalash yo’q. Ichkarida hech narsa trigger portiga trafik boshlamagan, shuning uchun qoida hech qachon ishga tushmaydi va ulanish qo’l berib ko’rishish boshlanishidan oldin o’ladi.
Triggerlash ishlayotgandek ko’rinadigan joylarda trigger portida trafikni boshqa narsa yaratadi: LANdagi mijoz, monitoring zondi yoki serverning o’z chiquvchi tekshiruvlari. Shunda xaritalash faqat o’sha bitta host uchun ochiladi va trafik to’xtaganda yopiladi, shuning uchun keyingi tashqi tomon yana muvaffaqiyatsiz bo’ladi, birinchi muvaffaqiyat esa jurnalda dalil kabi yotadi.
Triggerlash odatda bitta host uchun ham. Ko’p ilovalar bir vaqtning o’zida faqat bitta ichki qurilmaga xaritalashni ushlab turishga ruxsat beradi, bu bir necha tomonga javob berishi kerak bo’lgan server uchun mutlaqo noto’g’ri. Bu xususiyat tashqariga boshqaruv ulanishini ochib, ikkinchi portda kiruvchi ma’lumotni kutadigan ilovalar uchun yaratilgan va hanuz o’sha shaklga mos keladi.
Yo’naltirish aslida nimani xaritalaydi
Yo’naltirish bitta tarjima yozuvi: WAN porti va protokoli ichki manzil va portga. Unga boshqa uchida allaqachon ishlab turgan tinglovchi kerak va ichki manzil o’z joyida qolishi kerak. Boshqa mashinaga ko’chgan DHCP ijara har bir tunnelni noto’g’ri hostga indamay yuboradi, shuning uchun qoidadan oldin rezervatsiya yarating.
| Rule | Opens when | Closes when | Fits a VPN listener |
|---|---|---|---|
| Port forward | Saved, at boot | You delete it | Yes |
| Port trigger | Matching outbound traffic | Idle timeout or reboot | No |
Protokol forma ko’rsatganidan muhimroq. UDP ustidagi OpenVPN UDP yo’naltirishni talab qiladi, WireGuard UDP talab qiladi, IPsec ma’lumotlari esa ESP, IP protokoli 50 sifatida keladi, unda umuman port yo’q. Faqat TCP yoki UDP qabul qiladigan yo’naltirish formasi buni ifodalay olmaydi, shuning uchun IPsec port qoidasi o’rniga passthrough yoki statik bir-birga xaritalashni talab qiladi.
Routeringiz ustidagi qatlam
Yo’naltirish faqat sizga tegishli tarjimani boshqaradi. Agar WAN manzili sizniki bo’lmasa, bu operator NAT ortidagi holat bo’lib, u yerda abonentlar RFC 6598 hujjatida tavsiflanganidek 100.64.0.0/10 ni bo’lishadi, kiruvchi ulanish hech qachon sizning routeringizga yetib bormaydi, chunki provayder birinchi bo’lib tarjima qilgan. Qurilmangizdagi hech qanday qoida bu tartibni tuzata olmaydi.
Ikki tomonlama NAT kichik miqyosda xuddi shu muammo. Routeringiz ISP routeriga yo’naltiradi, unda mos qoida yo’q va u paketni tashlab yuboradi. Yoki qoidani tashqi qurilmaga qo’shing, yoki tashqi qurilmani ko’prik rejimiga o’tkazing va sizning qurilmangiz ommaviy manzilni ushlab tursin.
Shuning uchun sinov tashqaridan kelishi kerak. Ommaviy manzil orqali o’sha LANdan qilingan sinov hairpin NAT qo’llab-quvvatlashiga bog’liq va qoidaga aloqasi bo’lmagan sabablarga ko’ra o’tishi yoki muvaffaqiyatsiz bo’lishi mumkin; mobil ma’lumotdagi telefon yoki boshqa tarmoqdagi do’st tozaroq tekshiruv.
Qoidani cheklang, so’ng ikkala yarmini tekshiring
Bitta portni bitta manzilga yo’naltiring. Birinchi urinishlar muvaffaqiyatsiz bo’lgani uchun qo’shilgan diapazon boshqaruv interfeyslarining internetga chiqish yo’li, va VPN tinglovchisiga yonida routerning admin sahifasi e’lon qilinishi kerak emas.
O’sha tinglovchini avvaldan himoya qilgan hamma narsani saqlang: sertifikat yoki kalit bo’yicha shaxsiyat, host xavfsizlik devori, paketlarning joriy versiyalari. Yo’naltirish paketni ichkariga qo’yadi; autentifikatsiya paket tunnelga aylanishini hal qiladi, va biror narsa noto’g’ri bo’lganda bu ikki alohida muvaffaqiyatsizlik.
Tekshiruvning ikki yarmi bor. Qo’l berib ko’rishish tashqi tarmoqdan yakunlanishi kerak, so’ng server ortidagi xususiy resurs tunnel orqali javob berishi kerak. Yo’naltirish tunnel ulanishini ichkariga qo’yadi va ortiq emas; 10.8.0.0/24 uchun marshrutlash va avtorizatsiya boshqa ekrandagi boshqa sozlama.
Uch savol bilan qaror qiling
Uch savol tanlovni har qanday taqqoslash jadvalidan tezroq hal qiladi:
- Tashqaridan biror narsa birinchi paket sifatida ulanadimi? Unda yo’naltirish yoki releydan foydalaning. Triggerlash hech qachon bo’lmaydigan chiquvchi trafiksiz ochilmaydi.
- Teshik bo’sh turish vaqtidan uzoq yashashi kerakmi? Unda yo’naltirishdan foydalaning, chunki triggerlangan xaritalash o’z jadvali bo’yicha yopiladi.
- WAN manzili e’lon qilish uchun siznikimi? Agar yo’q bo’lsa, har qanday qoidani tahrirlashdan oldin yuqori qatlamni tuzating.
Agar uchalasiga ham javob yo’q bo’lsa, bu o’zi tijorat provayderiga qo’ng’iroq qiladigan noutbuk holati, ikki qoidaning hech biri kerak emas. NAT ortidagi mijoz ishlaydi, chunki holat saqlovchi xaritalashni o’zi yaratadi, va bu yarim kechada portni yo’naltirish sahifasini o’qiydigan odamlarning ko’pini qamrab oladi.