El router superior realment lliura els ports VPN d'entrada?

Tres condicions decideixen si un reenviament de port al router del laboratori publica res: què lliura la vora superior, quina política aplica i si les respostes tornen pel mateix camí. Una adreça que sembla pública no respon a cap d'elles. Tampoc no ho fa un prefix /30 ni una connexió de sortida que funcioni. Ordeneu aquestes condicions abans de canviar el NAT, o la regla local semblarà trencada quan el bloqueig és a dos salts de distància.

Tres respostes decideixen a qui escaleu

El propietari de la vora superior pot descriure el lliurament d'una de tres maneres. La destinació es lliura directament a la vostra interfície, un prefix separat s'encamina al vostre següent salt, o alguna cosa al davant tradueix l'adreça abans que us arribi. Cada resposta anomena un dispositiu diferent que ha de permetre la connexió d'entrada, i un equip diferent a qui trucar quan no ho fa.

El filtratge és la quarta variable i és independent de les tres. Una xarxa pot filtrar trànsit que conserva la seva adreça pública, i un traductor no és automàticament la frontera de política. Pregunteu per les adreces d'origen, transports i ports permesos al mateix temps que pel lliurament, perquè un port reenviat que la vora descarta mai no arriba a la vostra regla.

Llegiu el lliurament com un contracte de servei

Anoteu cinc valors abans de tocar el router del laboratori: l'adreça d'interfície assignada, la longitud del prefix, el següent salt, l'adreça de destinació que faran servir els clients externs i el protocol i port exactes. La destinació és la interessant, perquè pot no ser cap adreça configurada al vostre dispositiu. Si la vora superior espera que els clients arribin a una adreça traduïda, el DNAT local ha de coincidir amb aquest contracte i no amb l'adreça d'interfície que veieu.

La discussió de l'IETF sobre el comportament dels tallafocs és un recordatori útil que el filtratge i la traducció són funcions separades. Explica per què un router pot aplicar política d'entrada sense amagar adreces, i per què el NAT en algun lloc superior no demostra que el filtratge hi passi. Tracteu el lliurament com una descripció de servei amb un propietari i un procés de canvi.

Observeu un intent a les dues fronteres

Un intent estret i aprovat, correlacionat en dos punts, substitueix un munt de conjectures. Executeu una captura a la interfície WAN del laboratori per a la tupla exacta, i demaneu al propietari de la vora superior que observi la mateixa tupla a la vora. Mantingueu destinació, protocol, port, origen i marca de temps idèntics entre les dues vistes.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Llegiu el parell de resultats com una decisió. Vist a la vora i vist al WAN del laboratori vol dir que tant el lliurament com la política de vora passen, així que continueu amb l'oient o el DNAT. Vist a la vora però no al WAN del laboratori apunta al lliurament o a una política intermèdia, i la propera trucada és al propietari de la vora superior. No vist enlloc vol dir que la tupla de prova, l'origen o el camí són erronis abans de qualsevol pregunta sobre el tallafoc.

L'absència de proves en una captura no és prova d'un tallafoc. És un resultat de frontera que us diu quin dispositiu cal inspeccionar després.

Eviteu que el NAT local amagui la resposta

Només després de confirmar l'entrada la regla local esdevé interessant. Confirmeu que l'objectiu del DNAT és l'adreça i el port reals de l'oient VPN, que el reenviament està habilitat per a la família corresponent i que la resposta surt per la interfície per on va arribar la sol·licitud. Una regla que reescriu la destinació però no el camí de tornada produeix el mateix temps d'espera que un paquet descartat.

Manteniu la seguretat del port i el lliurament de producció mentre investigueu. Substituir el router o falsificar la seva adreça MAC per saltar-se els controls d'adjunció canvia un diagnòstic per una interrupció. Un port mirall o una captura aprovada donen la mateixa visibilitat sense desconnectar serveis que comparteixen l'enllaç.

Acabeu amb el mapa de propietat: destinació, dispositiu que lliura, dispositiu que filtra, entrada del laboratori i oient. Aquest mapa fa petita la propera revisió del reenviament de ports, i no autentica res sobre el VPN mateix.