Leverer den opstrøms router virkelig indgående VPN-porte?

Tre betingelser afgør, om en portvideresendelse på laboratorierouteren offentliggør noget: hvad den opstrøms kant leverer, hvilken politik den anvender, og om svar vender tilbage ad samme vej. En adresse, der ser offentlig ud, besvarer ingen af dem. Det gør et /30-præfiks eller en fungerende udgående forbindelse heller ikke. Sortér de betingelser, før du ændrer NAT, ellers vil den lokale regel se brudt ud, når blokeringen sidder to hop væk.

Tre svar afgør, hvem du eskalerer til

Ejerne af den opstrøms kant kan beskrive overdragelsen på en af tre måder. Destinationen leveres direkte til din grænseflade, et separat præfiks routes til dit næste hop, eller noget foran oversætter adressen, før den når dig. Hvert svar navngiver en anden enhed, der skal tillade den indgående forbindelse, og et andet team, der skal ringes til, når det ikke sker.

Filtrering er den fjerde variabel, og den er uafhængig af alle tre. Et netværk kan filtrere trafik, der beholder sin offentlige adresse, og en oversætter er ikke automatisk politikgrænsen. Spørg om tilladte kildeadresser, transportlag og porte samtidig med leveringen, fordi en videresendt port, som kanten dropper, aldrig når din regel.

Læs overdragelsen som en servicekontrakt

Skriv fem værdier ned, før du rører laboratorierouteren: den tildelte grænsefladeadresse, præfikslængden, det næste hop, den destinationsadresse eksterne klienter vil bruge, og den præcise protokol og port. Destinationen er den interessante, fordi den måske slet ikke er en adresse, der er konfigureret på din enhed. Hvis den opstrøms kant forventer, at klienter når en oversat adresse, skal lokal DNAT matche den kontrakt frem for den grænsefladeadresse, du ser.

IETF's diskussion af firewall-adfærd er en nyttig påmindelse om, at filtrering og oversættelse er adskilte funktioner. Den forklarer, hvorfor en router kan håndhæve indgående politik uden at skjule adresser, og hvorfor NAT et sted opstrøms ikke beviser, at filtrering sker der. Behandl overdragelsen som en servicebeskrivelse med en ejer og en ændringsproces.

Observer ét forsøg ved begge grænser

Ét snævert, godkendt forsøg korreleret på to punkter erstatter en bunke gæt. Kør en optagelse på laboratoriets WAN-grænseflade for den præcise tuple, og bed ejeren af den opstrøms kant om at observere samme tuple ved kanten. Hold destination, protokol, port, kilde og tidsstempel identiske mellem de to visninger.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Læs parret af resultater som en beslutning. Set ved kanten og set på laboratoriets WAN betyder, at både levering og kantpolitik passerer, så fortsæt med listeneren eller DNAT. Set ved kanten men ikke på laboratoriets WAN peger på levering eller en mellemliggende politik, og det næste opkald er til ejeren af den opstrøms kant. Set intetsteds betyder, at test-tuplen, kilden eller vejen er forkert, før der overhovedet er et firewall-spørgsmål.

Fravær af bevis i én optagelse er ikke bevis for en firewall. Det er et grænseresultat, der fortæller, hvilken enhed du skal undersøge næste gang.

Lad ikke lokal NAT skjule svaret

Først efter at indgående trafik er bekræftet, bliver den lokale regel interessant. Bekræft, at DNAT-målet er VPN-lytterens faktiske adresse og port, at videresendelse er aktiveret for den relevante familie, og at svaret forlader gennem den grænseflade, anmodningen ankom på. En regel, der omskriver destinationen men ikke returvejen, giver samme timeout som en droppet pakke.

Behold portsikkerhed og produktionsoverdragelsen, mens du undersøger. At udskifte routeren eller forfalske dens MAC-adresse for at omgå tilslutningskontroller bytter en diagnosticering for et udfald. En spejlport eller en godkendt optagelse giver samme synlighed uden at afbryde tjenester, der deler linket.

Slut med ejerskabskortet: destination, leverende enhed, filtrerende enhed, laboratorieindgang og lytter. Det kort gør den næste gennemgang af portvideresendelse lille, og det autentificerer intet om selve VPN'en.