Alles an einen Host weiterleiten oder auch den Port umschreiben?

Alles an Ihren VPN-Server weiterzuleiten kann zwei sehr unterschiedliche Regeln beschreiben. Die eine ändert die Zieladresse und behält den eingehenden Port; die andere schreibt zusätzlich den Port auf einen einzigen Listener um. Die Exposition ist nicht dieselbe, und die Entscheidung hängt von drei Bedingungen ab, nicht vom Etikett, das die Oberfläche des Routers verwendet.

Bedingung eins: Welche Felder ändert die Regel?

Zieladressübersetzung und Zielportübersetzung sind getrennte Vorgänge. Eine Regel kann nur die erste oder beide zusammen ausführen, und der Unterschied entscheidet, welche Dienste auf dem Zielhost erreichbar sind. Die meisten Herstelleroberflächen verbergen diese Wahl hinter einem einzigen Etikett. Die zugrunde liegende Regel zu lesen ist der einzige Weg zu wissen, welche Sie bekommen haben.

Lesen Sie die tatsächliche Regel statt des Menüetiketts. Ein Bildschirm mit der Aufschrift DMZ oder alle Ports beschreibt eine Absicht, keinen Paketpfad. Die Netfilter-NAT-Dokumentation trennt die beiden Übersetzungen, und das ist das richtige Denkmodell, auch wenn der Router vor Ihnen ein Verbrauchergerät ist.

Zwei Felder, zwei verschiedene Fragen.

Bedingung zwei: Was lauscht auf den beibehaltenen Ports?

Behält die Regel den eingehenden Port, wird jeder ankommende Port an dieselbe Nummer auf dem VPN-Host zugestellt, abhängig von der Eingangsrichtlinie dieses Hosts. Das schließt Dienste ein, von denen Sie vielleicht vergessen haben, dass sie lauschen. Die Regel hat diese Dienste nicht erzeugt, und sie ist nun der Weg zu ihnen.

Schreibt die Regel den Port um, geschieht das Gegenteil: viele äußere Ports fallen auf einen einzigen Listener zusammen, und nichts anderes auf dem Host ist über diese Regel erreichbar. Eine Umschreibung auf einen festen Port wird nicht dadurch zum Zugang zu jedem lokalen Dienst, dass ein breiter Bereich äußerer Ports darauf gepasst hat. Die beiden Entwürfe scheitern in verschiedene Richtungen, und der Fehlermodus ist das, was Sie wählen. Wählen Sie den, mit dessen Versagen Sie leben können.

Bestandsaufnahme des Listeners, bevor Sie wählen.

Bedingung drei: Wie breit ist der äußere Einstieg?

Einen ausgewählten Port zu veröffentlichen ist enger als einen Bereich zu veröffentlichen, und beides ist enger als alles anzunehmen. Die äußere Breite und die innere Übersetzung sind unabhängige Entscheidungen, und die meiste Verwirrung entsteht daraus, das eine zu ändern, während man das andere beschreibt.

Veröffentlichen Sie für einen gewöhnlichen VPN-Einstieg den Transport und den Listener, die das Design tatsächlich braucht. Prüfen Sie dann drei weitere Dinge: das effektive Mapping des Routers, die eigenen Eingangsregeln des Zielhosts und ob ein IPv6-Listener denselben Dienst veröffentlicht. Eine Regel, die in einer Adressfamilie eng aussieht, kann in der anderen weit sein.

Schreiben Sie den übersetzten Endpunkt vollständig auf: Protokoll, äußerer Port, innere Adresse, innerer Port.

Was Ihnen keine der beiden Regeln gibt

Keiner der beiden Entwürfe beweist, dass der Dienst frei von Schwachstellen ist, und keiner schützt die Verfügbarkeit. Authentifizierung, Updates und Wiederherstellung bleiben im Umfang, unabhängig davon, wie eng das Portmapping ist. Ein enges Mapping verkleinert die erreichbare Oberfläche; es macht den Listener nicht sicher.

Eine breite Regel, die bereits einen anderen legitimen Dienst unterstützt, ist eine Abhängigkeit, nicht nur ein Fehler. Erfassen Sie sie und ersetzen Sie sie über ihren Eigentümer, bevor Sie sie entfernen, sonst erscheint die Änderung als Ausfall, den eine Sicherheitskorrektur verursacht hat. Dieselbe Vorsicht gilt für eine Umschreibung auf einen festen Port, auf die sich etwas anderes still verlässt.

Expositionsanalyse handelt davon, was was erreichen kann, nicht vom Etikett auf dem Bildschirm.

Entscheiden Sie mit dem übersetzten Endpunkt in der Hand

Schreiben Sie das Ergebnis der Regel als Satz: öffentlicher UDP-Port X erreicht Adresse Y Port Z. Fragen Sie dann, welche Dienste auf Y auf Z antworten können und wem sie gehören.

nft list ruleset

Ist die Antwort der eine Listener, den Sie beabsichtigt haben, erfüllt die Regel ihren Zweck.

Sind es mehrere, haben Sie Weiterleitung an den gesamten Host gewählt, ob die Oberfläche es so genannt hat oder nicht.