Anfon popeth i un gwesteiwr, neu ailysgrifennu'r porth hefyd?

Gall anfon popeth i'ch gweinydd VPN ddisgrifio dau reol hollol wahanol. Mae un yn newid y cyfeiriad cyrchfan ac yn cadw'r porth sy'n dod i mewn; mae'r llall hefyd yn ailysgrifennu'r porth i un gwrandawr. Nid yw'r amlygiad yr un peth, ac mae'r penderfyniad yn dibynnu ar dri amod yn hytrach nag ar y label y mae rhyngwyneb y llwybrydd yn ei ddefnyddio.

Amod un: pa feysydd mae'r rheol yn eu newid?

Mae cyfieithu cyfeiriad cyrchfan a chyfieithu porth cyrchfan yn weithrediadau ar wahân. Gall rheol wneud y cyntaf yn unig, neu'r ddau gyda'i gilydd, ac mae'r gwahaniaeth yn penderfynu pa wasanaethau ar y gwesteiwr targed sy'n hygyrch. Mae'r rhan fwyaf o ryngwynebau gwerthwyr yn cuddio'r dewis hwnnw y tu ôl i un label. Darllen y rheol sylfaenol yw'r unig ffordd i wybod pa un a gawsoch.

Darllenwch y rheol wirioneddol, nid label y ddewislen. Mae sgrin sy'n dweud DMZ neu bob porth yn disgrifio bwriad, nid llwybr pecyn. Mae dogfennaeth Netfilter NAT yn gwahanu'r ddau gyfieithiad, a dyna'r model meddwl cywir hyd yn oed pan fo'r llwybrydd o'ch blaen yn offeryn defnyddwyr.

Dau faes, dwy gwestiwn wahanol.

Amod dau: beth sy'n gwrando ar y pyrth a gedwir?

Os yw'r rheol yn cadw'r porth sy'n dod i mewn, mae pob porth sy'n cyrraedd yn cael ei ddanfon i'r un rhif ar y gwesteiwr VPN, yn ddarostyngedig i bolisi mewnbwn y gwesteiwr hwnnw. Mae hyn yn cynnwys gwasanaethau y gallech fod wedi anghofio eu bod yn gwrando. Ni chrëodd y rheol y gwasanaethau hynny, ac yn awr hi yw'r llwybr atynt.

Os yw'r rheol yn ailysgrifennu'r porth, mae'r gwrthwyneb yn digwydd: mae llawer o borthladdoedd allanol yn cydlifo ar un gwrandawr, ac nid oes dim arall ar y gwesteiwr yn hygyrch drwy'r rheol honno. Nid yw ailysgrifennu porth sefydlog yn dod yn fynediad at bob gwasanaeth lleol dim ond oherwydd bod ystod eang o borthladdoedd allanol wedi cyfateb iddo. Mae'r ddau ddyluniad yn methu mewn cyfeiriadau gwahanol, a'r modd methu yw'r hyn rydych yn ei ddewis. Dewiswch yr un y gallwch fyw gyda'i fethiant.

Gwnewch restr o'r gwrandawr cyn i chi ddewis.

Amod tri: pa mor llydan yw'r fynedfa allanol?

Mae cyhoeddi un porth dethol yn gulach na chyhoeddi amrediad, ac mae'r ddau yn gulach na derbyn popeth. Mae'r lled allanol a'r cyfieithiad mewnol yn ddewisiadau annibynnol, ac mae'r rhan fwyaf o'r dryswch yn dod o newid un wrth ddisgrifio'r llall.

Ar gyfer mynedfa VPN gyffredin, cyhoeddwch y cludiant a'r gwrandawr y mae'r dyluniad eu hangen mewn gwirionedd. Yna adolygwch dri peth arall: mapio effeithiol y llwybrydd, rheolau mewnbwn y gwesteiwr targed ei hun, ac a yw gwrandawr IPv6 yn cyhoeddi'r un gwasanaeth. Gall rheol sy'n edrych yn gul ar un teulu cyfeiriadau fod yn llydan ar y llall.

Ysgrifennwch y pwynt terfynol cyfieithiedig yn llawn: protocol, porth allanol, cyfeiriad mewnol, porth mewnol.

Yr hyn nad yw'r naill reol na'r llall yn ei roi i chi

Nid yw'r naill ddyluniad na'r llall yn profi bod y gwasanaeth yn rhydd o fregusrwydd, ac nid yw'r naill na'r llall yn diogelu argaeledd. Mae dilysu, diweddariadau ac adfer yn parhau o fewn cwmpas waeth pa mor gul yw mapio pyrth. Mae mapio cul yn lleihau'r arwyneb hygyrch; nid yw'n gwneud y gwrandawr yn ddiogel.

Mae rheol lydan sy'n cefnogi gwasanaeth cyfreithlon arall eisoes yn ddibyniaeth, nid yn gamgymeriad yn unig. Rhowch hi ar restr a'i disodli trwy ei pherchennog cyn ei thynnu, neu bydd y newid yn edrych fel toriad a achoswyd gan atgyweiriad diogelwch. Mae'r un rhagofal yn berthnasol i ailysgrifennu porth sefydlog y mae rhywbeth arall yn dibynnu arno'n dawel.

Mae dadansoddiad amlygiad yn ymwneud â beth all gyrraedd beth, nid â'r label ar y sgrin.

Penderfynwch gyda'r pwynt terfynol cyfieithiedig yn eich llaw

Ysgrifennwch ganlyniad y rheol fel brawddeg: mae porth UDP cyhoeddus X yn cyrraedd cyfeiriad Y, porth Z. Yna gofynnwch pa wasanaethau yn Y all ateb ar Z a phwy sy'n berchen arnynt.

nft list ruleset

Os mai'r ateb yw'r un gwrandawr yr oeddech yn bwriadu ei gael, mae'r rheol yn gwneud ei gwaith.

Os mai sawl un yw'r ateb, rydych wedi dewis anfon ar draws y gwesteiwr cyfan, p'un a alwodd y rhyngwyneb ef felly ai peidio.