Doručuje upstream router skutečně příchozí VPN porty?

Tři podmínky rozhodují, zda přesměrování portu na laboratorním routeru něco zveřejní: co doručuje upstream hrana, jakou politiku uplatňuje a zda se odpovědi vracejí stejnou cestou. Adresa, která vypadá veřejně, neodpovídá na žádnou z nich. Ani prefix /30, ani funkční odchozí spojení. Tyto podmínky si setřiďte, než změníte NAT, jinak bude lokální pravidlo vypadat rozbité, když blok leží dva skoky daleko.

Tři odpovědi rozhodují, kam eskalujete

Vlastník upstreamu může předání popsat jedním ze tří způsobů. Destinace se doručuje přímo na vaše rozhraní, samostatný prefix se směruje na váš další skok, nebo něco vpředu překládá adresu, než k vám dorazí. Každá odpověď jmenuje jiné zařízení, které musí příchozí spojení povolit, a jiný tým, kterému volat, když se tak nestane.

Filtrování je čtvrtá proměnná a je nezávislé na všech třech. Síť může filtrovat provoz, který si zachovává svou veřejnou adresu, a překladač není automaticky hranicí politiky. Ptejte se na povolené zdrojové adresy, transporty a porty současně s doručením, protože přesměrovaný port, který hrana zahodí, nikdy k vašemu pravidlu nedorazí.

Čtěte předání jako smlouvu o službě

Než se dotknete laboratorního routeru, zapište pět hodnot: přiřazenou adresu rozhraní, délku prefixu, další skok, cílovou adresu, kterou budou používat externí klienti, a přesný protokol a port. Zajímavá je destinace, protože to vůbec nemusí být adresa nakonfigurovaná na vašem zařízení. Pokud upstream očekává, že klienti dosáhnou přeložené adresy, musí místní DNAT odpovídat této smlouvě, a ne adrese rozhraní, kterou vidíte.

Diskuse IETF o chování firewallů je užitečná připomínka, že filtrování a překlad jsou oddělené funkce. Vysvětluje, proč router může vynucovat příchozí politiku, aniž by skrýval adresy, a proč NAT někde výš nedokazuje, že se filtrování děje tam. Berte předání jako popis služby s vlastníkem a procesem změny.

Sledujte jeden pokus na obou hranicích

Jeden úzký, schválený pokus korelovaný ve dvou bodech nahradí hromadu dohadů. Spusťte zachycení na laboratorním WAN rozhraní pro přesný tuple a požádejte vlastníka upstreamu, aby stejný tuple pozoroval na hraně. Udržte destinaci, protokol, port, zdroj a časové razítko identické mezi oběma pohledy.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Čtěte dvojici výsledků jako rozhodnutí. Viděno na hraně a viděno na laboratorním WAN znamená, že doručení i hraniční politika procházejí, takže pokračujte s listenerem nebo DNAT. Viděno na hraně, ale ne na laboratorním WAN, ukazuje na doručení nebo mezilehlou politiku a dalším hovorem je vlastník upstreamu. Neviděno nikde znamená, že testovací tuple, zdroj nebo cesta jsou špatné ještě před jakoukoli otázkou na firewall.

Nepřítomnost důkazu v jednom zachycení není důkazem firewallu. Je to hraniční výsledek, který vám řekne, které zařízení prozkoumat dál.

Nenechte místní NAT skrýt odpověď

Teprve po potvrzení příchozího provozu se místní pravidlo stává zajímavým. Potvrďte, že cílem DNAT je skutečná adresa a port VPN listeneru, že přesměrování je zapnuté pro příslušnou rodinu a že odpověď odchází rozhraním, kterým požadavek přišel. Pravidlo, které přepisuje destinaci, ale ne zpáteční cestu, vytváří stejný timeout jako zahozený paket.

Během vyšetřování zachovejte zabezpečení portu a produkční předání. Výměna routeru nebo podvržení jeho MAC adresy kvůli obejití připojovacích kontrol vyměňuje diagnostiku za výpadek. Mirror port nebo schválené zachycení dává stejnou viditelnost, aniž by odpojilo služby sdílející linku.

Skončete mapou vlastnictví: destinace, zařízení, které doručuje, zařízení, které filtruje, laboratorní vstup a listener. Tato mapa dělá příští revizi přesměrování portů malou a nic neautentizuje o samotném VPN.