Isporučuje li upstream ruter zaista dolazne VPN portove?

Tri uslova odlučuju da li prosljeđivanje porta na laboratorijskom ruteru objavljuje bilo šta: šta upstream ivica isporučuje, koju politiku primjenjuje i vraćaju li se odgovori istim putem. Adresa koja izgleda javno ne odgovara ni na jedno od toga. Niti prefiks /30, niti radna odlazna veza. Poredajte te uslove prije nego promijenite NAT, inače će lokalno pravilo izgledati pokvareno dok blok stoji dva skoka dalje.

Tri odgovora odlučuju kome ćete eskalirati

Vlasnik upstreama može opisati predaju na jedan od tri načina. Destinacija se isporučuje direktno na vaš interfejs, poseban prefiks se rutira na vaš sljedeći skok ili nešto ispred prevodi adresu prije nego što stigne do vas. Svaki odgovor imenuje drugi uređaj koji mora dozvoliti dolaznu vezu i drugi tim kome treba zvati kada se to ne dogodi.

Filtriranje je četvrta varijabla i nezavisno je od sve tri. Mreža može filtrirati saobraćaj koji zadržava svoju javnu adresu, a prevodilac nije automatski granica politike. Pitajte o dozvoljenim izvornim adresama, transportima i portovima istovremeno sa isporukom, jer proslijeđeni port koji ivica odbaci nikada ne stiže do vašeg pravila.

Čitajte predaju kao ugovor o usluzi

Zapišite pet vrijednosti prije nego dodirnete laboratorijski ruter: dodijeljena adresa interfejsa, dužina prefiksa, sljedeći skok, odredišna adresa koju će koristiti vanjski klijenti i tačan protokol i port. Zanimljiva je destinacija, jer možda uopšte nije adresa konfigurisana na vašem uređaju. Ako upstream očekuje da klijenti dođu do prevedene adrese, lokalni DNAT mora odgovarati tom ugovoru, a ne adresi interfejsa koju vidite.

IETF rasprava o ponašanju firewall-a koristan je podsjetnik da su filtriranje i prevođenje odvojene funkcije. Objašnjava zašto ruter može provoditi dolaznu politiku bez skrivanja adresa i zašto NAT negdje uzvodno ne dokazuje da se filtriranje tamo odvija. Tretirajte predaju kao opis usluge sa vlasnikom i procesom promjene.

Posmatrajte jedan pokušaj na obje granice

Jedan uski, odobreni pokušaj koreliran na dvije tačke zamjenjuje gomilu nagađanja. Pokrenite snimanje na laboratorijskom WAN interfejsu za tačan tuple i zamolite vlasnika upstreama da posmatra isti tuple na ivici. Održite destinaciju, protokol, port, izvor i vremensku oznaku identičnim između dva prikaza.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Čitajte par rezultata kao odluku. Viđeno na ivici i viđeno na laboratorijskom WAN-u znači da isporuka i ivicna politika oba prolaze, zato nastavite sa listenerom ili DNAT-om. Viđeno na ivici ali ne na laboratorijskom WAN-u upućuje na isporuku ili srednju politiku, a sljedeći poziv je vlasniku upstreama. Nije viđeno nigdje znači da su testni tuple, izvor ili put pogrešni prije bilo kakvog firewall pitanja.

Odsustvo dokaza u jednom snimanju nije dokaz firewall-a. To je granični rezultat koji vam kaže koji uređaj sljedeći pregledati.

Ne dozvolite da lokalni NAT sakrije odgovor

Lokalno pravilo postaje zanimljivo tek nakon što se dolazni saobraćaj potvrdi. Potvrdite da je DNAT cilj stvarna adresa i port VPN listenera, da je prosljeđivanje omogućeno za odgovarajuću familiju i da odgovor izlazi kroz interfejs kroz koji je zahtjev stigao. Pravilo koje prepisuje destinaciju ali ne povratni put proizvodi isti timeout kao odbačeni paket.

Zadržite sigurnost porta i produkcijsku predaju dok istražujete. Zamjena rutera ili lažiranje njegove MAC adrese da bi se zaobišle kontrole priključenja mijenja dijagnostiku za prekid rada. Mirror port ili odobreno snimanje daje istu vidljivost bez isključivanja servisa koji dijele link.

Završite mapom vlasništva: destinacija, uređaj koji isporučuje, uređaj koji filtrira, laboratorijski ulaz i listener. Ta mapa čini sljedeći pregled prosljeđivanja portova malim i ne autentificira ništa o samom VPN-u.