تحويل كل شيء إلى مضيف واحد، أم إعادة كتابة المنفذ أيضًا؟

قد يصف تحويل كل شيء إلى خادم VPN قاعدتين مختلفتين تمامًا. إحداهما تغيّر عنوان الوجهة وتحتفظ بالمنفذ الوارد؛ والأخرى تعيد كتابة المنفذ أيضًا إلى مستمع واحد. الانكشاف ليس واحدًا، والقرار يعتمد على ثلاثة شروط لا على التسمية التي تستخدمها واجهة الموجّه.

الشرط الأول: أي الحقول تغيّرها القاعدة؟

ترجمة عنوان الوجهة وترجمة منفذ الوجهة عمليتان منفصلتان. يمكن للقاعدة أن تنفّذ الأولى وحدها، أو الاثنتين معًا، والفرق يحدد أي الخدمات على المضيف الهدف يمكن الوصول إليها. معظم واجهات البائعين تخفي هذا الاختيار خلف تسمية واحدة. وقراءة القاعدة الأساسية هي الطريقة الوحيدة لمعرفة أيّهما حصلت عليه.

اقرأ القاعدة الفعلية لا تسمية القائمة. الشاشة التي تقول DMZ أو جميع المنافذ تصف نيّة، لا مسار حزمة. وثائق Netfilter NAT تفصل بين الترجمتين، وهذا هو النموذج الذهني الصحيح حتى عندما يكون الموجّه أمامك جهازًا استهلاكيًا.

حقلان، سؤالان مختلفان.

الشرط الثاني: ما الذي يستمع على المنافذ المحفوظة؟

إذا أبقَت القاعدة المنفذ الوارد، فكل منفذ يصل يُسلَّم إلى الرقم نفسه على مضيف VPN، وفقًا لسياسة الإدخال لذلك المضيف. وهذا يشمل خدمات ربما نسيت أنها تستمع. القاعدة لم تنشئ تلك الخدمات، وهي الآن المسار إليها.

إذا أعادت القاعدة كتابة المنفذ، يحدث العكس: تنهار منافذ خارجية كثيرة على مستمع واحد، ولا شيء آخر على المضيف يمكن الوصول إليه عبر تلك القاعدة. وإعادة الكتابة بمنفذ ثابت لا تصبح وصولًا إلى كل خدمة محلية لمجرد أن نطاقًا واسعًا من المنافذ الخارجية طابقه. التصميمان يفشلان في اتجاهين مختلفين، ونمط الفشل هو ما تختاره. اختر الذي يمكنك العيش مع فشله.

احصر المستمع قبل أن تختار.

الشرط الثالث: ما مدى اتساع المدخل الخارجي؟

نشر منفذ واحد مختار أضيق من نشر نطاق، وكلاهما أضيق من قبول كل شيء. عرض الخارج والترجمة الداخلية خياران مستقلان، ومعظم الالتباس يأتي من تغيير أحدهما أثناء وصف الآخر.

لمدخل VPN عادي، انشر النقل والمستمع الذي يحتاجه التصميم فعليًا. ثم راجع ثلاثة أمور أخرى: تعيين الموجّه الفعلي، وقواعد الإدخال الخاصة بالمضيف الهدف، وما إذا كان مستمع IPv6 ينشر الخدمة نفسها. القاعدة التي تبدو ضيقة على عائلة عناوين قد تكون واسعة على الأخرى.

اكتب نقطة النهاية المترجمة كاملة: البروتوكول، والمنفذ الخارجي، والعنوان الداخلي، والمنفذ الداخلي.

ما لا تمنحك إياه أي من القاعدتين

لا يثبت أي من التصميمين أن الخدمة خالية من الثغرات، ولا يحمي أي منهما التوافر. تبقى المصادقة والتحديثات والاستعادة في النطاق بصرف النظر عن مدى ضيق تعيين المنفذ. التعيين الضيق يقلل السطح القابل للوصول؛ لكنه لا يجعل المستمع آمنًا.

القاعدة الواسعة التي تدعم بالفعل خدمة شرعية أخرى هي اعتماد، وليست مجرد خطأ. احصرها واستبدلها عبر مالكها قبل إزالتها، وإلا بدا التغيير كانقطاع سببه إصلاح أمني. وينطبق التحذير نفسه على إعادة كتابة بمنفذ ثابت يعتمد عليها شيء آخر بهدوء.

تحليل الانكشاف يتعلق بما يمكن أن يصل إلى ما، لا بالتسمية على الشاشة.

قرّر ونقطة النهاية المترجمة في يدك

اكتب نتيجة القاعدة كجملة: منفذ UDP العام X يصل إلى العنوان Y المنفذ Z. ثم اسأل أي الخدمات عند Y يمكنها الرد على Z ومن يملكها.

nft list ruleset

إذا كانت الإجابة هي المستمع الواحد الذي أردته، فالقاعدة تؤدي عملها.

إذا كانت الإجابة عدة مستمعين، فقد اخترت تحويلًا على مستوى المضيف سواء سمّته الواجهة كذلك أم لا.