Alles na een gasheer stuur, of ook die poort herskryf?

Om alles na jou VPN-bediener deur te stuur, kan twee baie verskillende reëls beskryf. Die een verander die bestemmingsadres en hou die inkomende poort; die ander herskryf ook die poort na een enkele luisteraar. Die blootstelling is nie dieselfde nie, en die besluit hang van drie voorwaardes af eerder as van die etiket wat die router se koppelvlak gebruik.

Voorwaarde een: watter velde verander die reël?

Bestemmingsadresomsetting en bestemmingspoortomsetting is aparte bewerkings. 'n Reël kan die eerste alleen doen, of albei saam, en die verskil bepaal watter dienste op die teikengasheer bereikbaar is. Die meeste verskaffers se koppelvlakke versteek daardie keuse agter een etiket. Om die onderliggende reël te lees, is die enigste manier om te weet watter een jy gekry het.

Lees die werklike reël eerder as die kieslys-etiket. 'n Skerm wat DMZ of alle poorte sê, beskryf 'n bedoeling, nie 'n pakketpad nie. Die Netfilter NAT-dokumentasie skei die twee omsettings, wat die regte denkmodel is selfs wanneer die router voor jou 'n verbruikerstoestel is.

Twee velde, twee verskillende vrae.

Voorwaarde twee: wat luister op die behoue poorte?

As die reël die inkomende poort behou, word elke aankomende poort aan dieselfde nommer op die VPN-gasheer afgelewer, onderhewig aan daardie gasheer se insetbeleid. Dit sluit dienste in wat jy dalk vergeet het daar luister. Die reël het nie daardie dienste geskep nie, en dit is nou die pad na hulle.

As die reël die poort herskryf, gebeur die teenoorgestelde: baie buitenste poorte val saam op een luisteraar, en niks anders op die gasheer is deur daardie reël bereikbaar nie. 'n Vastepoort-herskrywing word nie toegang tot elke plaaslike diens bloot omdat 'n wye reeks buitenste poorte daarop gepas het nie. Die twee ontwerpe faal in verskillende rigtings, en die foutmodus is wat jy kies. Kies die een wie se faling jy kan verduur.

Inventariseer die luisteraar voordat jy kies.

Voorwaarde drie: hoe wyd is die buitenste ingang?

Om een gekose poort te publiseer, is smaller as om 'n reeks te publiseer, en albei is smaller as om alles te aanvaar. Die buitenste wydte en die binne-omsetting is onafhanklike keuses, en die meeste verwarring kom daaruit dat 'n mens die een verander terwyl jy die ander beskryf.

Vir 'n gewone VPN-ingang, publiseer die transport en die luisteraar wat die ontwerp werklik nodig het. Hersien dan nog drie dinge: die router se effektiewe kartering, die teikengasheer se eie insetreëls, en of 'n IPv6-luisteraar dieselfde diens publiseer. 'n Reël wat op een adresfamilie smal lyk, kan op die ander wyd wees.

Skryf die omgesette eindpunt volledig neer: protokol, buitenste poort, binne-adres, binne-poort.

Wat nie een van die reëls jou gee nie

Nie een van die twee ontwerpe bewys dat die diens vry van kwesbaarhede is nie, en nie een beskerm beskikbaarheid nie. Verifikasie, opdaterings en herstel bly in die prentjie ongeag hoe smal die poortkartering is. 'n Smal kartering verklein die bereikbare oppervlak; dit maak nie die luisteraar veilig nie.

'n Wye reël wat reeds 'n ander wettige diens ondersteun, is 'n afhanklikheid, nie net 'n fout nie. Inventariseer dit en vervang dit deur sy eienaar voordat jy dit verwyder, anders sal die verandering soos 'n onderbreking lyk wat deur 'n sekuriteitsoplossing veroorsaak is. Dieselfde versigtigheid geld vir 'n vastepoort-herskrywing waarop iets anders stilweg staatmaak.

Blootstellingsontleding handel oor wat wat kan bereik, nie oor die etiket op die skerm nie.

Besluit met die omgesette eindpunt in die hand

Skryf die reël se resultaat as 'n sin: publieke UDP-poort X bereik adres Y poort Z. Vra dan watter dienste by Y op Z kan antwoord en wie hulle besit.

nft list ruleset

As die antwoord die een luisteraar is wat jy bedoel het, doen die reël sy werk.

As die antwoord verskeie is, het jy gasheerwye stuur gekies, of die koppelvlak dit so genoem het of nie.