Ці сапраўды верхні маршрутызатар дастаўляе ўваходныя порты VPN?

Тры ўмовы вырашаюць, ці апублікуе што-небудзь перанакіраванне порта на маршрутызатары лабараторыі: што дастаўляе верхні край, якую палітыку ён прымяняе і ці вяртаюцца адказы тым жа шляхам. Адрас, які выглядае публічным, не адказвае ні на адно з гэтага. Тое ж самае з прэфіксам /30 або працуючым зыходным злучэннем. Упарадкуйце гэтыя ўмовы перад змяненнем NAT, інакш лакальнае правіла будзе выглядаць зламаным, калі блакаванне знаходзіцца праз два скокі.

Тры адказы вырашаюць, да каго эскаліраваць

Уладальнік верхняга боку можа апісаць перадачу адным з трох спосабаў. Прызначэнне дастаўляецца непасрэдна на ваш інтэрфейс, асобны прэфікс маршрутызуецца на наступны скок, або нешта спераду транслюе адрас, перш чым ён дасягне вас. Кожны адказ называе розную прыладу, якая мусіць дазволіць уваходнае злучэнне, і розную каманду, куды звяртацца, калі гэтага не адбываецца.

Фільтраванне — чацвёртая зменная, і яна не залежыць ад усіх трох. Сетка можа фільтраваць трафік, які захоўвае публічны адрас, а транслятар не з'яўляецца аўтаматычна мяжой палітыкі. Пытайцеся пра дазволеныя адрасы крыніц, транспарты і порты адначасова з пытаннем пра дастаўку, бо перанакіраваны порт, які край скідае, ніколі не дасягне вашага правіла.

Чытайце перадачу як кантракт на паслугу

Запішыце пяць значэнняў, перш чым кранаць маршрутызатар лабараторыі: прызначаны адрас інтэрфейса, даўжыню прэфікса, наступны скок, адрас прызначэння, які будуць выкарыстоўваць знешнія кліенты, і дакладны пратакол і порт. Цікавае — менавіта прызначэнне, бо яно можа зусім не быць адрасам, наладжаным на вашай прыладзе. Калі верхні бок чакае, што кліенты дасягнуць трансляванага адраса, лакальны DNAT мусіць адпавядаць гэтаму кантракту, а не адрасу інтэрфейса, які вы бачыце.

Абмеркаванне паводзін міжсеткавага экрана IETF — карыснае напамінванне, што фільтраванне і трансляцыя — асобныя функцыі. Яно тлумачыць, чаму маршрутызатар можа прымяняць уваходную палітыку, не хаваючы адрасы, і чаму наяўнасць NAT дзесьці вышэй не даказвае, што фільтраванне адбываецца менавіта там. Успрымайце перадачу як апісанне паслугі з уладальнікам і працэсам змяненняў.

Назірайце адну спробу на абодвух межах

Адна вузкая ўзгодненая спроба, суаднесеная ў двух пунктах, заменіць кучу здагадак. Запусціце захоп на WAN-інтэрфейсе лабараторыі для дакладнага картэжа і папрасіце ўладальніка верхняга боку назіраць той жа картэж на краі. Трымайце пункт прызначэння, пратакол, порт, крыніцу і пазнаку часу аднолькавымі ў абодвух прадстаўленнях.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Чытайце пару вынікаў як рашэнне. Бачнае на краі і бачнае на WAN лабараторыі азначае, што і дастаўка, і палітыка края праходзяць, таму працягвайце з слухачом або DNAT. Бачнае на краі, але не на WAN лабараторыі, паказвае на дастаўку або прамежкавую палітыку, і наступны званок — уладальніку верхняга боку. Не бачнае нідзе азначае, што тэставы картэж, крыніца або шлях няправільныя яшчэ да любога пытання пра міжсеткавы экран.

Адсутнасць доказаў у адным захопе не з'яўляецца доказам існавання міжсеткавага экрана. Гэта вынік на мяжы, які кажа, якую прыладу даследаваць далей.

Не дазваляйце лакальнаму NAT хаваць адказ

Лакальнае правіла робіцца цікавым толькі пасля пацверджання ўваходу. Пацвердзіце, што мэта DNAT — фактычны адрас і порт слухача VPN, што перанакіраванне ўключана для адпаведнага сямейства і што адказ выходзіць праз інтэрфейс, праз які прыйшоў запыт. Правіла, якое перазапісвае пункт прызначэння, але не шлях вяртання, дае тую ж тайм-аўт, што і адкінуты пакет.

Падчас расследавання захоўвайце бяспеку порта і прадакшн-перадачу. Замена маршрутызатара або падробка яго MAC-адраса, каб абысці кантроль падключэння, — гэта абмен дыягностыкі на прастой. Люстраны порт або ўзгоднены захоп дае тую ж бачнасць, не адключаючы службы, якія дзеляць лінію.

Скончыце картай уласнасці: прызначэнне, прылада, якая дастаўляе, прылада, якая фільтруе, уваход лабараторыі і слухач. Гэтая карта робіць наступны агляд перанакіравання портаў малым, і яна нічога не аўтэнтыфікуе пра сам VPN.