هل يوصّل الموجّه الأعلى فعلاً منافذ VPN الواردة؟

ثلاثة شروط تحدد ما إذا كان تحويل المنفذ على موجّه المختبر ينشر أي شيء: ما يسلّمه الطرف الأعلى، وأي سياسة يطبقها، وما إذا كانت الردود تعود عبر المسار نفسه. العنوان الذي يبدو عاماً لا يجيب عن أي منها. وكذلك الحال مع بادئة /30 أو اتصال صادر يعمل. رتّب هذه الشروط قبل تغيير NAT، وإلا سيبدو القاعدة المحلية معطلة بينما يقع الحجب على بُعد قفزتين.

ثلاثة أجوبة تحدد إلى من تُصعّد

يمكن لمالك الطرف الأعلى وصف التسليم بإحدى ثلاث طرق. إما أن تُسلَّم الوجهة مباشرة إلى واجهتك، أو يُوجَّه بادئة منفصلة إلى قفزتك التالية، أو يقوم شيء في المقدمة بترجمة العنوان قبل أن يصل إليك. كل جواب يسمّي جهازاً مختلفاً يجب أن يسمح بالاتصال الوارد، وفريقاً مختلفاً يجب الاتصال به عندما لا يحدث ذلك.

الترشيح هو المتغير الرابع وهو مستقل عن الثلاثة جميعاً. يمكن لشبكة أن ترشّح حركة تحتفظ بعنوانها العام، والمترجم ليس بالضرورة حدود السياسة. اسأل عن عناوين المصادر المسموح بها والنقل والمنافذ في الوقت نفسه الذي تسأل فيه عن التسليم، لأن منفذاً محوَّلاً يُسقطه الطرف الأعلى لا يصل أبداً إلى قاعدتك.

اقرأ التسليم كعقد خدمة

اكتب خمس قيم قبل أن تلمس موجّه المختبر: عنوان الواجهة المعيَّن، وطول البادئة، والقفزة التالية، وعنوان الوجهة الذي سيستخدمه العملاء الخارجيون، والبروتوكول والمنفذ بدقة. الوجهة هي المثيرة للاهتمام، لأنها قد لا تكون عنواناً مُهيَّأً على جهازك على الإطلاق. إذا كان الطرف الأعلى يتوقع أن يصل العملاء إلى عنوان مترجم، فعلى DNAT المحلي أن يطابق ذلك العقد لا عنوان الواجهة الذي تراه.

إن نقاش IETF حول سلوك جدار الحماية تذكير مفيد بأن الترشيح والترجمة وظيفتان منفصلتان. فهو يشرح لماذا يمكن للموجّه أن يفرض سياسة دخول دون إخفاء العناوين، ولماذا لا يثبت وجود NAT في مكان أعلى أن الترشيح يحدث هناك. تعامل مع التسليم كوصف خدمة له مالك وعملية تغيير.

راقب محاولة واحدة عند الحدّين

محاولة واحدة ضيقة ومعتمدة تُربط عند نقطتين تغني عن كومة من التخمينات. شغّل التقاطاً على واجهة WAN في المختبر للسّجل الدقيق، واطلب من مالك الطرف الأعلى مراقبة السّجل نفسه عند الحافة. أبقِ الوجهة والبروتوكول والمنفذ والمصدر والطابع الزمني متطابقة بين الرؤيتين.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

اقرأ زوج النتائج كقرار. أن يُرى عند الحافة ويُرى على WAN المختبر يعني أن التسليم وسياسة الحافة يمرّان معاً، فواصل مع المستمع أو DNAT. أن يُرى عند الحافة ولا يُرى على WAN المختبر يشير إلى التسليم أو سياسة وسيطة، ومالك الطرف الأعلى هو الاتصال التالي. أما ألا يُرى في أي مكان فيعني أن سّجل الاختبار أو المصدر أو المسار خطأ قبل أي سؤال عن جدار الحماية.

غياب الدليل في التقاط واحد ليس إثباتاً لوجود جدار حماية. إنه نتيجة حدود تخبرك أي جهاز يجب فحصه بعد ذلك.

امنع NAT المحلي من إخفاء الجواب

لا تصبح القاعدة المحلية مثيرة للاهتمام إلا بعد تأكيد الدخول. أكّد أن هدف DNAT هو عنوان المستمع الفعلي ومنفذه، وأن التمرير ممكّن للعائلة المعنية، وأن الرد يخرج عبر الواجهة التي وصل منها الطلب. القاعدة التي تعيد كتابة الوجهة دون مسار العودة تُنتج المهلة نفسها التي ينتجها حزمة مُسقطة.

أبقِ أمن المنفذ وتسليم الإنتاج أثناء التحقيق. استبدال الموجّه أو تزوير عنوان MAC الخاص به لتجاوز ضوابط الربط يقايض تشخيصاً بانقطاع. توفر واجهة مرآة أو التقاط معتمد الرؤية نفسها دون فصل الخدمات التي تتشارك الرابط.

أنهِ بخريطة الملكية: الوجهة، والجهاز المُسلِّم، والجهاز المُرشِّح، ونقطة دخول المختبر، والمستمع. تلك الخريطة تجعل مراجعة تحويل المنفذ التالية صغيرة، وهي لا تصادق على شيء يتعلق بالـ VPN نفسه.