Перасылаць усё на адзін хост ці перапісваць і порт?

Перасыланне ўсяго на ваш VPN-сервер можа апісваць два вельмі розныя правілы. Адно змяняе адрас прызначэння і захоўвае ўваходны порт; другое яшчэ і перапісвае порт на адзіны слухач. Экспазіцыя не аднолькавая, і рашэнне залежыць ад трох умоў, а не ад надпісу, які выкарыстоўвае інтэрфейс роўтара.

Умова першая: якія палі змяняе правіла?

Трансляцыя адраса прызначэння і трансляцыя порта прызначэння — асобныя аперацыі. Правіла можа выканаць толькі першую або абедзве разам, і розніца вызначае, якія службы на мэтавым хосце дасяжныя. Большасць інтэрфейсаў вытворцаў хаваюць гэты выбар за адным надпісам. Чытанне базавага правіла — адзіны спосаб даведацца, якое вы атрымалі.

Чытайце фактычнае правіла, а не надпіс у меню. Экран з надпісам DMZ або ўсе парты апісвае намер, а не шлях пакета. Дакументацыя Netfilter NAT раздзяляе дзве трансляцыі, і гэта правільная разумовая мадэль, нават калі роўтар перад вамі — спажывецкая прылада.

Два палі, два розныя пытанні.

Умова другая: што слухае на захаваных партах?

Калі правіла захоўвае ўваходны порт, кожны які прыходзіць порт дастаўляецца на той жа нумар на VPN-хосце, згодна з палітыкай уводу гэтага хоста. Гэта ўключае службы, пра якія вы маглі забыцца, што яны слухаюць. Правіла не стварыла гэтыя службы, і цяпер яно — шлях да іх.

Калі правіла перапісвае порт, адбываецца адваротнае: мноства знешніх партоў зліваюцца на адзін слухач, і нішто іншае на хосце недасяжнае праз гэтае правіла. Перапісванне на фіксаваны порт не робіцца доступам да кожнай лакальнай службы толькі таму, што шырокі дыяпазон знешніх партоў яму адпавядаў. Дзве канструкцыі адмаўляюць у розных кірунках, і менавіта рэжым адмовы вы выбіраеце. Выберыце тую, з чыёй адмовай вы можаце жыць.

Перад выбарам праінвентарызуйце слухач.

Умова трэцяя: наколькі шырокі знешні ўваход?

Апублікаваць адзін абраны порт вузей, чым апублікаваць дыяпазон, і абодва вузейшыя за прыняцце ўсяго. Знешняя шырыня і ўнутраная трансляцыя — незалежныя выбары, і большасць блытаніны ўзнікае, калі змяняюць адно, апісваючы другое.

Для звычайнага VPN-уваходу апублікуйце транспарт і слухач, якія канструкцыя сапраўды патрабуе. Затым перагледзьце яшчэ тры рэчы: эфектыўнае адлюстраванне роўтара, уласныя правілы ўводу мэтавага хоста і тое, ці публікуе IPv6-слухач тую ж службу. Правіла, якое выглядае вузкім у адным сямействе адрасоў, можа быць шырокім у іншым.

Запішыце перакладзены канчатковы пункт цалкам: пратакол, знешні порт, унутраны адрас, унутраны порт.

Чаго не дае ні адно правіла

Ні адна з дзвюх канструкцый не даказвае, што служба вольная ад уразлівасцей, і ні адна не абараняе даступнасць. Аўтэнтыфікацыя, абнаўленні і аднаўленне застаюцца ў межах незалежна ад таго, наколькі вузкае адлюстраванне партоў. Вузкае адлюстраванне памяньшае дасяжную паверхню; яно не робіць слухач бяспечным.

Шырокае правіла, якое ўжо падтрымлівае іншую легітымную службу, — гэта залежнасць, а не проста памылка. Праінвентарызуйце яго і заменіце праз яго ўладальніка, перш чым выдаляць, інакш змена будзе выглядаць як перапынак, выкліканы выпраўленнем бяспекі. Тая ж асцярога тычыцца перапісвання на фіксаваны порт, на якое нешта іншае ціха спадзяецца.

Аналіз экспазіцыі — гэта пра тое, што можа дасягнуць чаго, а не пра надпіс на экране.

Вырашайце, трымаючы перакладзены канчатковы пункт

Запішыце вынік правіла як сказ: публічны порт UDP X дасягае адраса Y, порт Z. Затым спытайце, якія службы ў Y могуць адказаць на Z і каму яны належаць.

nft list ruleset

Калі адказ — той адзін слухач, які вы мелі на ўвазе, правіла робіць сваю справу.

Калі адказаў некалькі, вы абралі перасыланне на ўвесь хост, незалежна ад таго, ці называў гэта так інтэрфейс.