Lewer die opstroomroeteer werklik inkomende VPN-poorte?

Drie voorwaardes bepaal of 'n poortaanstuur op die laboratoriumroeteer enigiets publiseer: wat die opstroomrand lewer, watter beleid dit toepas en of antwoorde op dieselfde pad terugkeer. 'n Adres wat publiek lyk, beantwoord nie een daarvan nie. Net so min 'n /30-voorvoegsel of 'n werkende uitgaande verbinding. Sorteer daardie voorwaardes voordat jy NAT verander, anders lyk die plaaslike reël stukkend terwyl die blok twee spronge verder sit.

Drie antwoorde bepaal na wie jy eskaleer

Die opstroom-eienaar kan die oorhandiging op een van drie maniere beskryf. Die bestemming word direk na jou koppelvlak gelewer, 'n aparte voorvoegsel word na jou volgende sprong gerouteer, of iets vooraan vertaal die adres voordat dit jou bereik. Elke antwoord noem 'n ander toestel wat die inkomende verbinding moet toelaat, en 'n ander span om te bel wanneer dit nie gebeur nie.

Filtering is die vierde veranderlike en dit is onafhanklik van al drie. 'n Netwerk kan verkeer filter wat sy publieke adres behou, en 'n vertaler is nie outomaties die beleidsgrens nie. Vra terselfdertyd as die lewering na toegelate bronadresse, transportmiddels en poorte, want 'n aangestuurde poort wat die rand laat val, bereik nooit jou reël nie.

Lees die oorhandiging as 'n dienskontrak

Skryf vyf waardes neer voordat jy aan die laboratoriumroeteer raak: die toegewysde koppelvlakadres, die voorvoegsellengte, die volgende sprong, die bestemmingsadres wat eksterne kliënte sal gebruik en die presiese protokol en poort. Die bestemming is die interessante een, want dit is dalk glad nie 'n adres wat op jou toestel opgestel is nie. As die opstroom verwag dat kliënte 'n vertaalde adres bereik, moet plaaslike DNAT by daardie kontrak pas eerder as by die koppelvlakadres wat jy sien.

Die IETF-bespreking van vuurmuurgedrag is 'n nuttige herinnering dat filtering en vertaling aparte funksies is. Dit verduidelik waarom 'n roeteerder inkomende beleid kan afdwing sonder om adresse weg te steek, en waarom NAT êrens opstroom nie bewys dat filtering daar plaasvind nie. Behandel die oorhandiging as 'n diensbeskrywing met 'n eienaar en 'n veranderingsproses.

Waarneem een poging by albei grense

Een eng, goedgekeurde poging wat op twee punte gekorreleer word, vervang 'n hoop raaiskote. Voer 'n opname op die laboratorium se WAN-koppelvlak vir die presiese tuple uit, en vra die opstroom-eienaar om dieselfde tuple by die rand waar te neem. Hou bestemming, protokol, poort, bron en tydstempel identies tussen die twee sienings.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Lees die paar resultate as 'n besluit. Gesien by die rand en gesien op die laboratorium-WAN beteken dat lewering en randbeleid albei deurkom, so gaan voort met die luisteraar of DNAT. Gesien by die rand maar nie op die laboratorium-WAN nie, dui op lewering of 'n tussenliggende beleid, en die opstroom-eienaar is die volgende oproep. Nêrens gesien beteken die toets-tuple, die bron of die pad is verkeerd voordat enige vuurmuurvraag ter sprake kom.

Die afwesigheid van bewyse in een opname is nie 'n bewys van 'n vuurmuur nie. Dit is 'n grensresultaat wat jou sê watter toestel volgende ondersoek moet word.

Moenie dat plaaslike NAT die antwoord versteek nie

Eers nadat inkomende verkeer bevestig is, word die plaaslike reël interessant. Bevestig dat die DNAT-teiken die VPN-luisteraar se werklike adres en poort is, dat aansturing vir die betrokke familie geaktiveer is, en dat die antwoord deur die koppelvlak vertrek waardeur die versoek aangekom het. 'n Reël wat die bestemming herskryf maar nie die terugpad nie, lewer dieselfde tydverstryking as 'n laat valde pakkie.

Behou poortsekuriteit en die produksie-oorhandiging terwyl jy ondersoek instel. Om die roeteerder te vervang of sy MAC-adres te vervals om aansluitingsbeheer te omseil, ruil 'n diagnostiek vir 'n onderbreking. 'n Spieëlpoort of 'n goedgekeurde opname gee dieselfde sigbaarheid sonder om dienste wat die skakel deel, te ontkoppel.

Eindig met die eienaarskapkaart: bestemming, lewerende toestel, filterende toestel, laboratorium-inkoms en luisteraar. Daardie kaart maak die volgende poortaanstuur-hersiening klein, en dit verifieer niks oor die VPN self nie.