Přeposlat vše na jeden host, nebo přepsat i port?

Přeposílání všeho na váš server VPN může popisovat dvě velmi odlišná pravidla. Jedno mění cílovou adresu a zachovává příchozí port; druhé navíc přepisuje port na jediný posluchač. Expozice není stejná a rozhodnutí závisí na třech podmínkách, nikoli na označení, které používá rozhraní routeru.

Podmínka první: která pole pravidlo mění?

Překlad cílové adresy a překlad cílového portu jsou samostatné operace. Pravidlo může provést jen první nebo obojí najednou, a rozdíl určuje, které služby na cílovém hostiteli jsou dostupné. Většina rozhraní výrobců skrývá tuto volbu za jediným označením. Čtení podkladového pravidla je jediný způsob, jak zjistit, které jste dostali.

Čtěte skutečné pravidlo, ne označení v nabídce. Obrazovka s nápisem DMZ nebo všechny porty popisuje záměr, ne cestu paketu. Dokumentace Netfilter NAT oba překlady odděluje a to je správný mentální model, i když je router před vámi spotřební zařízení.

Dvě pole, dvě různé otázky.

Podmínka druhá: co poslouchá na zachovaných portech?

Pokud pravidlo zachová příchozí port, každý přicházející port se doručí na stejné číslo na hostiteli VPN, v souladu se vstupní politikou tohoto hostitele. Patří sem služby, u kterých jste možná zapomněli, že poslouchají. Pravidlo tyto služby nevytvořilo a nyní je k nim cestou.

Pokud pravidlo port přepisuje, děje se opak: mnoho vnějších portů se slije do jediného posluchače a nic dalšího na hostiteli není tímto pravidlem dostupné. Přepis na pevný port se nestane přístupem ke každé místní službě jen proto, že mu odpovídal široký rozsah vnějších portů. Oba návrhy selhávají různými směry a režim selhání je to, co si vybíráte. Vyberte ten, jehož selhání unesete.

Před volbou si posluchač zmapujte.

Podmínka třetí: jak široký je vnější vstup?

Zveřejnění jednoho vybraného portu je užší než zveřejnění rozsahu a obojí je užší než přijmout vše. Vnější šířka a vnitřní překlad jsou nezávislé volby a většina zmatku vzniká tím, že se mění jedno, zatímco se popisuje druhé.

Pro běžný vstup VPN zveřejněte transport a posluchače, které návrh skutečně potřebuje. Poté zkontrolujte další tři věci: efektivní mapování routeru, vlastní vstupní pravidla cílového hostitele a zda posluchač IPv6 zveřejňuje stejnou službu. Pravidlo, které vypadá úzce v jedné rodině adres, může být široké v druhé.

Zapište přeložený koncový bod celý: protokol, vnější port, vnitřní adresa, vnitřní port.

Co vám nedá ani jedno pravidlo

Žádný z obou návrhů nedokazuje, že služba nemá zranitelnosti, a žádný nechrání dostupnost. Autentizace, aktualizace a obnova zůstávají v rozsahu bez ohledu na to, jak úzké mapování portů je. Úzké mapování zmenšuje dostupný povrch; posluchače bezpečným nečiní.

Široké pravidlo, které už podporuje jinou legitimní službu, je závislost, ne jen chyba. Zmapujte ho a nahraďte ho přes jeho vlastníka, než ho odstraníte, jinak bude změna vypadat jako výpadek způsobený bezpečnostní opravou. Stejná opatrnost platí pro přepis na pevný port, na kterém tiše závisí něco jiného.

Analýza expozice je o tom, co se kam může dostat, ne o označení na obrazovce.

Rozhodněte s přeloženým koncovým bodem v ruce

Zapište výsledek pravidla jako větu: veřejný port UDP X dosáhne adresy Y, port Z. Pak se zeptejte, které služby na Y mohou odpovídat na Z a komu patří.

nft list ruleset

Pokud je odpovědí jediný posluchač, který jste zamýšleli, pravidlo dělá svou práci.

Pokud je odpovědí několik, zvolili jste přeposílání na celý hostitel, ať už to rozhraní nazvalo tak či ne.