Videresende alt til én vært eller også omskrive porten?

Videresendelse af alt til din VPN-server kan beskrive to meget forskellige regler. Den ene ændrer destinationsadressen og beholder den indgående port; den anden omskriver også porten til én enkelt lytter. Eksponeringen er ikke den samme, og beslutningen afhænger af tre betingelser snarere end af den etiket, routerens grænseflade bruger.

Betingelse et: hvilke felter ændrer reglen?

Oversættelse af destinationsadresse og oversættelse af destinationsport er separate operationer. En regel kan udføre kun den første eller begge sammen, og forskellen afgør, hvilke tjenester på målværten der er tilgængelige. De fleste leverandørgrænseflader skjuler det valg bag en enkelt etiket. At læse den underliggende regel er den eneste måde at vide, hvilken du fik.

Læs den faktiske regel i stedet for menuetiketten. En skærm, der siger DMZ eller alle porte, beskriver en hensigt, ikke en pakkevej. Netfilter NAT-dokumentationen adskiller de to oversættelser, og det er den rigtige tankemodel, selv når routeren foran dig er et forbrugerprodukt.

To felter, to forskellige spørgsmål.

Betingelse to: hvad lytter på de bevarede porte?

Hvis reglen beholder den indgående port, leveres hver ankommende port til samme nummer på VPN-værten, underlagt den værts indgangspolitik. Det omfatter tjenester, du måske har glemt lyttede. Reglen skabte ikke disse tjenester, og den er nu vejen til dem.

Hvis reglen omskriver porten, sker det modsatte: mange udefrakommende porte smelter sammen til én lytter, og intet andet på værten er tilgængeligt gennem den regel. En omskrivning til fast port bliver ikke adgang til enhver lokal tjeneste, bare fordi et bredt interval af udefrakommende porte passede på den. De to design fejler i forskellige retninger, og fejlmåden er det, du vælger. Vælg den, hvis fejl du kan leve med.

Kortlæg lytteren, før du vælger.

Betingelse tre: hvor bred er den udefrakommende indgang?

At udgive én udvalgt port er snævrere end at udgive et interval, og begge er snævrere end at acceptere alt. Den udvendige bredde og den indvendige oversættelse er uafhængige valg, og det meste forvirring kommer af at ændre det ene, mens man beskriver det andet.

For en almindelig VPN-indgang skal du udgive den transport og den lytter, som designet faktisk har brug for. Gennemgå derefter tre ting mere: routerens effektive mapping, målværtens egne indgangsregler, og om en IPv6-lytter udgiver den samme tjeneste. En regel, der ser snæver ud i én adressefamilie, kan være bred i den anden.

Skriv det oversatte endepunkt fuldt ud: protokol, udvendig port, indvendig adresse, indvendig port.

Hvad ingen af reglerne giver dig

Ingen af de to design beviser, at tjenesten er fri for sårbarheder, og ingen af dem beskytter tilgængeligheden. Godkendelse, opdateringer og gendannelse forbliver i scope, uanset hvor snæver portmappingen er. En snæver mapping reducerer den tilgængelige overflade; den gør ikke lytteren sikker.

En bred regel, der allerede understøtter en anden legitim tjeneste, er en afhængighed, ikke bare en fejl. Kortlæg den, og erstat den via dens ejer, før du fjerner den, ellers vil ændringen ligne et afbrud forårsaget af en sikkerhedsrettelse. Samme forsigtighed gælder for en omskrivning til fast port, som noget andet stiltiende er afhængigt af.

Eksponeringsanalyse handler om, hvad der kan nå hvad, ikke om etiketten på skærmen.

Beslut med det oversatte endepunkt i hånden

Skriv regelens resultat som en sætning: offentlig UDP-port X når adresse Y, port Z. Spørg derefter, hvilke tjenester på Y der kan svare på Z, og hvem der ejer dem.

nft list ruleset

Hvis svaret er den ene lytter, du havde tænkt dig, gør reglen sit arbejde.

Hvis svaret er flere, har du valgt videresendelse til hele værten, uanset om grænsefladen kaldte det sådan.