Προώθηση όλων σε έναν κεντρικό υπολογιστή ή και επανεγγραφή της θύρας;

Η προώθηση όλων στον διακομιστή VPN σας μπορεί να περιγράφει δύο πολύ διαφορετικούς κανόνες. Ο ένας αλλάζει τη διεύθυνση προορισμού και διατηρεί την εισερχόμενη θύρα· ο άλλος επανεγγράφει και τη θύρα σε έναν μόνο ακροατή. Η έκθεση δεν είναι η ίδια και η απόφαση εξαρτάται από τρεις συνθήκες, όχι από την ετικέτα που χρησιμοποιεί η διεπαφή του δρομολογητή.

Συνθήκη πρώτη: ποια πεδία αλλάζει ο κανόνας;

Η μετάφραση της διεύθυνσης προορισμού και η μετάφραση της θύρας προορισμού είναι ξεχωριστές πράξεις. Ένας κανόνας μπορεί να εκτελέσει μόνο την πρώτη ή και τις δύο μαζί, και η διαφορά καθορίζει ποιες υπηρεσίες στον κεντρικό υπολογιστή-στόχο είναι προσβάσιμες. Οι περισσότερες διεπαφές κατασκευαστών κρύβουν αυτή την επιλογή πίσω από μία ετικέτα. Η ανάγνωση του υποκείμενου κανόνα είναι ο μόνος τρόπος να μάθετε ποιον πήρατε.

Διαβάστε τον πραγματικό κανόνα και όχι την ετικέτα του μενού. Μια οθόνη που λέει DMZ ή όλες οι θύρες περιγράφει μια πρόθεση, όχι μια διαδρομή πακέτου. Η τεκμηρίωση του Netfilter NAT διαχωρίζει τις δύο μεταφράσεις, και αυτό είναι το σωστό νοητικό μοντέλο ακόμη και όταν ο δρομολογητής μπροστά σας είναι καταναλωτική συσκευή.

Δύο πεδία, δύο διαφορετικά ερωτήματα.

Συνθήκη δεύτερη: τι ακούει στις διατηρημένες θύρες;

Αν ο κανόνας διατηρεί την εισερχόμενη θύρα, κάθε θύρα που φτάνει παραδίδεται στον ίδιο αριθμό στον κεντρικό υπολογιστή VPN, με την επιφύλαξη της πολιτικής εισόδου αυτού του υπολογιστή. Αυτό περιλαμβάνει υπηρεσίες που ίσως ξεχάσατε ότι ακούν. Ο κανόνας δεν δημιούργησε αυτές τις υπηρεσίες και τώρα είναι η διαδρομή προς αυτές.

Αν ο κανόνας επανεγγράφει τη θύρα, συμβαίνει το αντίθετο: πολλές εξωτερικές θύρες συμπτύσσονται σε έναν ακροατή και τίποτε άλλο στον υπολογιστή δεν είναι προσβάσιμο μέσω αυτού του κανόνα. Μια επανεγγραφή σε σταθερή θύρα δεν γίνεται πρόσβαση σε κάθε τοπική υπηρεσία μόνο επειδή της ταίριασε ένα ευρύ φάσμα εξωτερικών θυρών. Τα δύο σχέδια αποτυγχάνουν σε διαφορετικές κατευθύνσεις και ο τρόπος αποτυχίας είναι αυτό που επιλέγετε. Επιλέξτε εκείνο με την αποτυχία του οποίου μπορείτε να ζήσετε.

Καταγράψτε τον ακροατή πριν επιλέξετε.

Συνθήκη τρίτη: πόσο πλάτος είναι το εξωτερικό σημείο εισόδου;

Η δημοσίευση μίας επιλεγμένης θύρας είναι στενότερη από τη δημοσίευση ενός εύρους, και τα δύο είναι στενότερα από το να δέχεστε τα πάντα. Το εξωτερικό πλάτος και η εσωτερική μετάφραση είναι ανεξάρτητες επιλογές, και η περισσότερη σύγχυση προκύπτει από το να αλλάζετε το ένα ενώ περιγράφετε το άλλο.

Για μια συνηθισμένη είσοδο VPN, δημοσιεύστε το πρωτόκολλο μεταφοράς και τον ακροατή που χρειάζεται πραγματικά ο σχεδιασμός. Στη συνέχεια ελέγξτε τρία ακόμη πράγματα: την πραγματική αντιστοίχιση του δρομολογητή, τους δικούς του κανόνες εισόδου του κεντρικού υπολογιστή-στόχου και αν ένας ακροατής IPv6 δημοσιεύει την ίδια υπηρεσία. Ένας κανόνας που φαίνεται στενός σε μια οικογένεια διευθύνσεων μπορεί να είναι πλατύς στην άλλη.

Γράψτε το μεταφρασμένο τελικό σημείο πλήρως: πρωτόκολλο, εξωτερική θύρα, εσωτερική διεύθυνση, εσωτερική θύρα.

Τι δεν σας δίνει κανένας από τους δύο κανόνες

Κανένα από τα δύο σχέδια δεν αποδεικνύει ότι η υπηρεσία είναι απαλλαγμένη από ευπάθειες και κανένα δεν προστατεύει τη διαθεσιμότητα. Η πιστοποίηση, οι ενημερώσεις και η ανάκτηση παραμένουν στο πεδίο ανεξάρτητα από το πόσο στενή είναι η αντιστοίχιση θυρών. Μια στενή αντιστοίχιση μειώνει την προσβάσιμη επιφάνεια· δεν κάνει τον ακροατή ασφαλή.

Ένας ευρύς κανόνας που ήδη υποστηρίζει μια άλλη νόμιμη υπηρεσία είναι εξάρτηση, όχι απλώς λάθος. Καταγράψτε την και αντικαταστήστε την μέσω του ιδιοκτήτη της πριν την αφαιρέσετε, αλλιώς η αλλαγή θα μοιάζει με διακοπή που προκλήθηκε από διόρθωση ασφάλειας. Η ίδια προσοχή ισχύει για μια επανεγγραφή σε σταθερή θύρα στην οποία κάτι άλλο βασίζεται σιωπηλά.

Η ανάλυση έκθεσης αφορά το τι μπορεί να φτάσει σε τι, όχι την ετικέτα στην οθόνη.

Αποφασίστε με το μεταφρασμένο τελικό σημείο στο χέρι

Γράψτε το αποτέλεσμα του κανόνα ως πρόταση: η δημόσια θύρα UDP X φτάνει στη διεύθυνση Y θύρα Z. Στη συνέχεια ρωτήστε ποιες υπηρεσίες στο Y μπορούν να απαντήσουν στο Z και ποιος τις κατέχει.

nft list ruleset

Αν η απάντηση είναι ο ένας ακροατής που είχατε κατά νου, ο κανόνας κάνει τη δουλειά του.

Αν η απάντηση είναι αρκετοί, έχετε επιλέξει προώθηση σε όλο τον κεντρικό υπολογιστή, είτε η διεπαφή το ονόμασε έτσι είτε όχι.