Yuxarı router həqiqətən daxil olan VPN portlarını çatdırırmı?

Bir port yönləndirməsinin laboratoriya routerində hər hansı şey yayımlamasını üç şərt həll edir: yuxarı kənarın nə çatdırdığı, hansı siyasəti tətbiq etdiyi və cavabların eyni yolla qayıdıb-qayıtmadığı. İctimai görünən ünvan bunların heç birinə cavab vermir. /30 prefiksi və ya işləyən çıxış bağlantısı da eləcə. NAT-ı dəyişməzdən əvvəl bu şərtləri sıralayın, yoxsa blok iki atlama aralıda yerləşdiyi halda yerli qayda pozulmuş görünəcək.

Üç cavab kimə eskalasiya edəcəyinizi müəyyən edir

Yuxarı sahibi təhvil verməni üç yoldan biri ilə təsvir edə bilər. Təyinat birbaşa interfeysinizə çatdırılır, ayrı prefiks növbəti atlamanıza yönləndirilir və ya qarşıda nəsə ünvanı sizə çatmazdan əvvəl tərcümə edir. Hər cavab daxil olan bağlantıya icazə verməli fərqli bir cihazı və bu baş vermədikdə zəng edilməli fərqli bir komandanı adlandırır.

Filtrləmə dördüncü dəyişəndir və hər üçündən asılı deyil. Şəbəkə ictimai ünvanını saxlayan trafiki filtrləyə bilər və tərcüməçi avtomatik olaraq siyasət sərhədi deyil. İcazə verilən mənbə ünvanlarını, nəqliyyatları və portları çatdırılma ilə eyni vaxtda soruşun, çünki kənarın atdığı yönləndirilmiş port heç vaxt qaydanıza çatmır.

Təhvili xidmət müqaviləsi kimi oxuyun

Laboratoriya routerinə toxunmazdan əvvəl beş dəyəri yazın: təyin edilmiş interfeys ünvanı, prefiks uzunluğu, növbəti atlama, xarici müştərilərin istifadə edəcəyi təyinat ünvanı və dəqiq protokol və port. Maraqlısı təyinatdır, çünki o, cihazınızda konfiqurasiya edilmiş ünvan olmaya bilər. Yuxarı tərəf müştərilərin tərcümə edilmiş ünvana çatmasını gözləyirsə, yerli DNAT gördüyünüz interfeys ünvanına deyil, həmin müqaviləyə uyğun olmalıdır.

IETF-nin firewall davranışı müzakirəsi filtrləmə ilə tərcümənin ayrı funksiyalar olduğunu xatırladan faydalı bir materialdır. Routerin ünvanları gizlətmədən daxil olan siyasəti necə tətbiq edə bildiyini və yuxarıda haradasa NAT-ın olmasının filtrləmənin orada baş verdiyini sübut etmədiyini izah edir. Təhvili sahibi və dəyişiklik prosesi olan xidmət təsviri kimi qəbul edin.

Hər iki sərhəddə bir cəhdi müşahidə edin

İki nöqtədə əlaqələndirilən bir dar, təsdiqlənmiş cəhd bir yığın təxmini əvəz edir. Dəqiq tuple üçün laboratoriya WAN interfeysində tutma işə salın və yuxarı sahibindən eyni tuple-ı kənarda müşahidə etməsini xahiş edin. Təyinatı, protokolu, portu, mənbəni və vaxt damğasını iki görünüş arasında eyni saxlayın.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Nəticələr cütünü qərar kimi oxuyun. Kənarda görülməsi və laboratoriya WAN-da görülməsi çatdırılma ilə kənar siyasətinin ikisinin də keçdiyini bildirir, ona görə dinləyici və ya DNAT ilə davam edin. Kənarda görülüb laboratoriya WAN-da görülməməsi çatdırılmaya və ya aralıq siyasətə işarə edir və növbəti zəng yuxarı sahibinədir. Heç yerdə görülməməsi isə hər hansı firewall sualından əvvəl test tuple-ının, mənbənin və ya yolun səhv olduğunu bildirir.

Bir tutmada dəlilin olmaması firewall olduğuna sübut deyil. Bu, növbəti hansı cihazı yoxlamağınızı söyləyən sərhəd nəticəsidir.

Yerli NAT-ın cavabı gizlətməsinə imkan verməyin

Yerli qayda yalnız giriş təsdiqləndikdən sonra maraqlı olur. DNAT hədəfinin VPN dinləyicisinin faktiki ünvanı və portu olduğunu, müvafiq ailə üçün yönləndirmənin aktiv olduğunu və cavabın sorğunun gəldiyi interfeysdən çıxdığını təsdiqləyin. Təyinatı yenidən yazan, lakin qayıdış yolunu yazmayan qayda, atılmış paketlə eyni gözləmə vaxtını yaradır.

Araşdırma zamanı port təhlükəsizliyini və istehsalat təhvilini saxlayın. Qoşulma nəzarətlərini keçmək üçün routeri dəyişdirmək və ya onun MAC ünvanını saxtalaşdırmaq diaqnostikanı kəsinti ilə dəyişir. Güzgü portu və ya təsdiqlənmiş tutma, linki paylaşan xidmətləri ayırmadan eyni görünürlüyü verir.

Sahiblik xəritəsi ilə bitirin: təyinat, çatdıran cihaz, filtrləyən cihaz, laboratoriya girişi və dinləyici. Bu xəritə növbəti port yönləndirmə baxışını kiçik edir və VPN-in özü ilə bağlı heç nəyi təsdiqləmir.