Наистина ли горният рутер доставя входящи VPN портове?

Три условия решават дали пренасочване на порт на лабораторния рутер ще публикува нещо: какво доставя горният ръб, каква политика прилага и дали отговорите се връщат по същия път. Публично изглеждащият адрес не отговаря на нито едно от тях. Нито префикс /30, нито работеща изходяща връзка. Подредете тези условия, преди да промените NAT, иначе локалното правило ще изглежда счупено, когато блокирането е на два хопа разстояние.

Три отговора решават към кого да ескалирате

Собственикът на горния ръб може да опише предаването по един от три начина. Дестинацията се доставя директно към вашия интерфейс, отделен префикс се маршрутизира към следващия ви хоп или нещо отпред транслира адреса, преди да стигне до вас. Всеки отговор посочва различно устройство, което трябва да разреши входящата връзка, и различен екип, на който да се обадите, когато това не стане.

Филтрирането е четвъртата променлива и е независимо от всичките три. Мрежата може да филтрира трафик, който запазва публичния си адрес, а транслаторът не е автоматично границата на политиката. Питайте за разрешени адреси на източника, транспорти и портове едновременно с доставката, защото пренасочен порт, който ръбът изхвърля, никога не достига до вашето правило.

Четете предаването като договор за услуга

Запишете пет стойности, преди да пипате лабораторния рутер: зададения адрес на интерфейса, дължината на префикса, следващия хоп, адреса на дестинацията, който външните клиенти ще използват, и точния протокол и порт. Интересна е дестинацията, защото тя може изобщо да не е адрес, конфигуриран на вашето устройство. Ако горният ръб очаква клиентите да достигат транслиран адрес, локалният DNAT трябва да отговаря на този договор, а не на адреса на интерфейса, който виждате.

Обсъждането на поведението на защитната стена от IETF е полезно напомняне, че филтрирането и транслацията са отделни функции. То обяснява защо рутерът може да налага входяща политика, без да крие адреси, и защо NAT някъде по-горе не доказва, че филтрирането се случва там. Третирайте предаването като описание на услуга със собственик и процес за промяна.

Наблюдавайте един опит на двете граници

Един тесен, одобрен опит, корелиран в две точки, замества куп предположения. Пуснете прихващане на WAN интерфейса на лабораторията за точния кортеж и помолете собственика на горния ръб да наблюдава същия кортеж на ръба. Дръжте дестинацията, протокола, порта, източника и времевата марка еднакви между двата изгледа.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Четете двойката резултати като решение. Видяно на ръба и видяно на лабораторния WAN означава, че доставката и политиката на ръба минават, затова продължете със слушателя или DNAT. Видяно на ръба, но не на лабораторния WAN, сочи към доставката или междинна политика, и следващото обаждане е до собственика на горния ръб. Видяно никъде означава, че тестовият кортеж, източникът или пътят са грешни още преди въпроса за защитна стена.

Липсата на доказателство в едно прихващане не е доказателство за защитна стена. Това е резултат на границата, който ви казва кое устройство да проверите след това.

Не позволявайте на локалния NAT да скрие отговора

Локалното правило става интересно едва след като входящият трафик е потвърден. Потвърдете, че целта на DNAT е действителният адрес и порт на VPN слушателя, че препращането е включено за съответното семейство и че отговорът излиза през интерфейса, по който е пристигнала заявката. Правило, което пренаписва дестинацията, но не пътя за връщане, дава същия таймаут като изхвърлен пакет.

Запазете сигурността на порта и производственото предаване, докато разследвате. Смяната на рутера или подправянето на MAC адреса му, за да заобиколите контрола на свързване, заменя диагностика с прекъсване. Огледален порт или одобрено прихващане дава същата видимост, без да изключва услуги, които споделят връзката.

Завършете с карта на собствеността: дестинация, доставящо устройство, филтриращо устройство, лабораторен вход и слушател. Тази карта прави следващия преглед на пренасочването на портове малък и не удостоверява нищо за самия VPN.