Liefert der Upstream-Router wirklich eingehende VPN-Ports?

Drei Bedingungen entscheiden, ob eine Portweiterleitung auf dem Laborrouter überhaupt etwas veröffentlicht: was der Upstream-Rand ausliefert, welche Richtlinie er anwendet und ob Antworten auf demselben Pfad zurückkehren. Eine öffentlich wirkende Adresse beantwortet keine davon. Auch ein /30-Präfix oder eine funktionierende ausgehende Verbindung nicht. Ordnen Sie diese Bedingungen, bevor Sie NAT ändern, sonst wirkt die lokale Regel defekt, während die Sperre zwei Hops entfernt sitzt.

Drei Antworten entscheiden, an wen Sie eskalieren

Der Upstream-Eigentümer kann die Übergabe auf eine von drei Arten beschreiben. Das Ziel wird direkt an Ihre Schnittstelle geliefert, ein separates Präfix wird zu Ihrem nächsten Hop geroutet, oder etwas davor übersetzt die Adresse, bevor sie Sie erreicht. Jede Antwort nennt ein anderes Gerät, das die eingehende Verbindung zulassen muss, und ein anderes Team, das anzurufen ist, wenn das nicht geschieht.

Die Filterung ist die vierte Variable und unabhängig von allen drei. Ein Netz kann Verkehr filtern, der seine öffentliche Adresse behält, und ein Übersetzer ist nicht automatisch die Richtliniengrenze. Fragen Sie nach erlaubten Quelladressen, Transporten und Ports gleichzeitig mit der Lieferung, denn ein weitergeleiteter Port, den der Rand verwirft, erreicht Ihre Regel nie.

Lesen Sie die Übergabe als Dienstvertrag

Notieren Sie fünf Werte, bevor Sie den Laborrouter anfassen: die zugewiesene Schnittstellenadresse, die Präfixlänge, den nächsten Hop, die Zieladresse, die externe Clients verwenden werden, und das genaue Protokoll und den Port. Das Ziel ist das Interessante, denn es ist vielleicht gar keine auf Ihrem Gerät konfigurierte Adresse. Wenn der Upstream erwartet, dass Clients eine übersetzte Adresse erreichen, muss lokales DNAT zu diesem Vertrag passen und nicht zu der Schnittstellenadresse, die Sie sehen.

Die IETF-Diskussion zum Firewall-Verhalten ist eine nützliche Erinnerung daran, dass Filterung und Übersetzung getrennte Funktionen sind. Sie erklärt, warum ein Router eingehende Richtlinien durchsetzen kann, ohne Adressen zu verbergen, und warum NAT irgendwo upstream nicht beweist, dass dort gefiltert wird. Behandeln Sie die Übergabe als Dienstbeschreibung mit Eigentümer und Änderungsprozess.

Beobachten Sie einen Versuch an beiden Grenzen

Ein enger, genehmigter Versuch, an zwei Punkten korreliert, ersetzt einen Haufen Vermutungen. Führen Sie einen Mitschnitt auf der WAN-Schnittstelle des Labors für das genaue Tupel aus und bitten Sie den Upstream-Eigentümer, dasselbe Tupel am Rand zu beobachten. Halten Sie Ziel, Protokoll, Port, Quelle und Zeitstempel zwischen beiden Ansichten identisch.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Lesen Sie das Ergebnispaar als Entscheidung. Am Rand gesehen und im Labor-WAN gesehen heißt, dass Lieferung und Randrichtlinie beide passieren, also weiter mit dem Listener oder DNAT. Am Rand gesehen, aber nicht im Labor-WAN, deutet auf die Lieferung oder eine Zwischenrichtlinie hin, und der nächste Anruf gilt dem Upstream-Eigentümer. Nirgends gesehen heißt, dass Testtupel, Quelle oder Pfad falsch sind, noch bevor sich eine Firewall-Frage stellt.

Die Abwesenheit von Belegen in einem Mitschnitt ist kein Beweis für eine Firewall. Es ist ein Randbefund, der Ihnen sagt, welches Gerät als Nächstes zu prüfen ist.

Lassen Sie lokales NAT die Antwort nicht verbergen

Erst nach bestätigtem Eingang wird die lokale Regel interessant. Bestätigen Sie, dass das DNAT-Ziel die tatsächliche Adresse und der Port des VPN-Listeners ist, dass die Weiterleitung für die betreffende Adressfamilie aktiviert ist und dass die Antwort über die Schnittstelle hinausgeht, auf der die Anfrage ankam. Eine Regel, die das Ziel, aber nicht den Rückweg umschreibt, erzeugt denselben Timeout wie ein verworfenes Paket.

Behalten Sie Portsicherheit und Produktionsübergabe bei, während Sie untersuchen. Den Router zu ersetzen oder seine MAC-Adresse zu fälschen, um Anschlusskontrollen zu umgehen, tauscht eine Diagnose gegen einen Ausfall. Ein Spiegelport oder ein genehmigter Mitschnitt liefert dieselbe Sichtbarkeit, ohne Dienste zu trennen, die den Link teilen.

Schließen Sie mit der Eigentümerkarte ab: Ziel, lieferndes Gerät, filterndes Gerät, Laboreingang und Listener. Diese Karte macht die nächste Überprüfung der Portweiterleitung klein, und sie authentifiziert nichts über das VPN selbst.