Ho enviem tot a un sol amfitrió o reescrivim també el port?

Enviar-ho tot al vostre servidor VPN pot descriure dues regles molt diferents. Una canvia l'adreça de destinació i conserva el port d'entrada; l'altra també reescriu el port cap a un únic oient. L'exposició no és la mateixa, i la decisió depèn de tres condicions, no de l'etiqueta que fa servir la interfície del router.

Primera condició: quins camps canvia la regla?

La traducció de l'adreça de destinació i la traducció del port de destinació són operacions separades. Una regla pot fer només la primera o totes dues alhora, i la diferència decideix quins serveis de l'amfitrió de destinació són accessibles. La majoria d'interfícies de fabricants amaguen aquesta tria darrere d'una sola etiqueta. Llegir la regla subjacent és l'única manera de saber quina heu obtingut.

Llegiu la regla real, no l'etiqueta del menú. Una pantalla que diu DMZ o tots els ports descriu una intenció, no un camí de paquets. La documentació de Netfilter NAT separa les dues traduccions, i aquest és el model mental correcte fins i tot quan el router que teniu al davant és un aparell de consum.

Dos camps, dues preguntes diferents.

Segona condició: què escolta als ports conservats?

Si la regla conserva el port d'entrada, cada port que arriba es lliura al mateix número de l'amfitrió VPN, subjecte a la política d'entrada d'aquest amfitrió. Això inclou serveis que potser havíeu oblidat que hi escoltaven. La regla no va crear aquests serveis, i ara és el camí cap a ells.

Si la regla reescriu el port, passa el contrari: molts ports exteriors s'ajunten en un sol oient, i res més de l'amfitrió no és accessible per aquella regla. Una reescriptura de port fix no es converteix en accés a tots els serveis locals només perquè hi va encaixar un interval ampli de ports exteriors. Els dos dissenys fallen en direccions diferents, i el mode de fallada és el que trieu. Trieu aquell amb què pugueu conviure quan falli.

Feu inventari de l'oient abans de triar.

Tercera condició: com d'ample és l'entrada exterior?

Publicar un sol port seleccionat és més estret que publicar un interval, i tots dos són més estrets que acceptar-ho tot. L'amplada exterior i la traducció interior són tries independents, i la major part de la confusió ve de canviar-ne una mentre es descriu l'altra.

Per a una entrada VPN corrent, publiqueu el transport i l'oient que el disseny necessita realment. Després reviseu tres coses més: el mapatge efectiu del router, les regles d'entrada pròpies de l'amfitrió de destinació i si un oient IPv6 publica el mateix servei. Una regla que sembla estreta en una família d'adreces pot ser ampla en l'altra.

Escriviu el punt final traduït sencer: protocol, port exterior, adreça interior, port interior.

Què no us dona cap de les dues regles

Cap dels dos dissenys no demostra que el servei estigui lliure de vulnerabilitats, i cap no protegeix la disponibilitat. L'autenticació, les actualitzacions i la recuperació continuen dins l'abast sigui com sigui d'estret el mapatge de ports. Un mapatge estret redueix la superfície accessible; no fa segur l'oient.

Una regla àmplia que ja dona suport a un altre servei legítim és una dependència, no només un error. Feu-ne inventari i substituïu-la a través del seu propietari abans de treure-la, o el canvi semblarà una caiguda causada per una correcció de seguretat. La mateixa precaució s'aplica a una reescriptura de port fix en què alguna altra cosa es recolza en silenci.

L'anàlisi d'exposició tracta de què pot arribar a què, no de l'etiqueta de la pantalla.

Decidiu amb el punt final traduït a la mà

Escriviu el resultat de la regla com una frase: el port UDP públic X arriba a l'adreça Y port Z. Després pregunteu quins serveis a Y poden respondre a Z i qui els posseeix.

nft list ruleset

Si la resposta és l'únic oient que volíeu, la regla fa la seva feina.

Si la resposta és més d'un, heu triat enviament a tot l'amfitrió, tant si la interfície ho ha anomenat així com si no.