Да прехвърляме всичко към един хост или да пренапишем и порта?

Прехвърлянето на всичко към вашия VPN сървър може да описва две много различни правила. Едното променя адреса на местоназначението и запазва входящия порт; другото пренаписва порта към един-единствен слушател. Излагането не е еднакво и решението зависи от три условия, а не от етикета, който използва интерфейсът на рутера.

Условие първо: кои полета променя правилото?

Транслацията на адрес на местоназначението и транслацията на порт на местоназначението са отделни операции. Едно правило може да извърши само първата или двете заедно, а разликата определя кои услуги на целевия хост са достъпни. Повечето интерфейси на доставчици скриват този избор зад един етикет. Четенето на основното правило е единственият начин да разберете кое от двете сте получили.

Четете действителното правило, а не етикета в менюто. Екран с надпис DMZ или всички портове описва намерение, а не път на пакета. Документацията на Netfilter NAT разделя двете транслации и това е правилният мисловен модел, дори когато рутерът пред вас е потребителско устройство.

Две полета, два различни въпроса.

Условие второ: какво слуша на запазените портове?

Ако правилото запазва входящия порт, всеки пристигащ порт се доставя на същия номер на VPN хоста, съобразно входната политика на този хост. Това включва услуги, за които може да сте забравили, че слушат. Правилото не е създало тези услуги и сега то е пътят към тях.

Ако правилото пренаписва порта, се случва обратното: много външни портове се свиват към един слушател и нищо друго на хоста не е достъпно през това правило. Пренаписването към фиксиран порт не се превръща в достъп до всяка локална услуга само защото широк диапазон от външни портове го е съвпаднал. Двата дизайна се провалят в различни посоки и режимът на отказ е това, което избирате. Изберете този, чийто отказ можете да понесете.

Направете опис на слушателя, преди да изберете.

Условие трето: колко широк е външният вход?

Публикуването на един избран порт е по-тясно от публикуването на диапазон и двете са по-тесни от приемането на всичко. Външната ширина и вътрешната транслация са независими избори и повечето объркване идва от промяна на едното, докато се описва другото.

За обикновен VPN вход публикувайте транспорта и слушателя, от които дизайнът действително се нуждае. След това прегледайте още три неща: ефективното съпоставяне на рутера, собствените входни правила на целевия хост и дали IPv6 слушател публикува същата услуга. Правило, което изглежда тясно в едно семейство адреси, може да е широко в другото.

Запишете транслатираната крайна точка изцяло: протокол, външен порт, вътрешен адрес, вътрешен порт.

Какво не ви дава нито едно от двете правила

Нито един от двата дизайна не доказва, че услугата е свободна от уязвимости, и нито един не защитава наличността. Удостоверяването, актуализациите и възстановяването остават в обхвата, независимо колко тясно е съпоставянето на портове. Тясното съпоставяне намалява достъпната повърхност; то не прави слушателя безопасен.

Широко правило, което вече поддържа друга законна услуга, е зависимост, а не просто грешка. Направете му опис и го заменете чрез собственика му, преди да го премахнете, иначе промяната ще изглежда като прекъсване, причинено от поправка по сигурността. Същото внимание важи за пренаписване към фиксиран порт, на което нещо друго тихо разчита.

Анализът на излагането е за това какво може да достигне до какво, а не за етикета на екрана.

Решете с транслатираната крайна точка в ръка

Запишете резултата от правилото като изречение: публичен UDP порт X достига адрес Y порт Z. След това попитайте кои услуги на Y могат да отговорят на Z и кой ги притежава.

nft list ruleset

Ако отговорът е единственият слушател, който сте имали предвид, правилото си върши работата.

Ако отговорът е няколко, вие сте избрали прехвърляне към целия хост, независимо дали интерфейсът го е нарекъл така.