Παραδίδει πραγματικά ο ανάντη δρομολογητής τις εισερχόμενες θύρες VPN;

Τρεις συνθήκες καθορίζουν αν μια προώθηση θύρας στον δρομολογητή του εργαστηρίου δημοσιεύει οτιδήποτε: τι παραδίδει το ανάντη άκρο, ποια πολιτική εφαρμόζει και αν οι απαντήσεις επιστρέφουν από την ίδια διαδρομή. Μια διεύθυνση που φαίνεται δημόσια δεν απαντά σε καμία από αυτές. Το ίδιο ισχύει για ένα πρόθεμα /30 ή μια λειτουργική εξερχόμενη σύνδεση. Ταξινομήστε αυτές τις συνθήκες πριν αλλάξετε το NAT, αλλιώς ο τοπικός κανόνας θα φαίνεται χαλασμένος ενώ ο αποκλεισμός βρίσκεται δύο άλματα μακριά.

Τρεις απαντήσεις καθορίζουν σε ποιον κλιμακώνετε

Ο ιδιοκτήτης του ανάντη άκρου μπορεί να περιγράψει την παράδοση με έναν από τρεις τρόπους. Ο προορισμός παραδίδεται απευθείας στη διεπαφή σας, ένα ξεχωριστό πρόθεμα δρομολογείται στο επόμενο άλμα σας ή κάτι μπροστά μεταφράζει τη διεύθυνση πριν φτάσει σε εσάς. Κάθε απάντηση ονομάζει διαφορετική συσκευή που πρέπει να επιτρέψει την εισερχόμενη σύνδεση και διαφορετική ομάδα που πρέπει να καλέσετε όταν αυτό δεν συμβαίνει.

Το φιλτράρισμα είναι η τέταρτη μεταβλητή και είναι ανεξάρτητο και από τις τρεις. Ένα δίκτυο μπορεί να φιλτράρει κίνηση που διατηρεί τη δημόσια διεύθυνσή του, και ένας μεταφραστής δεν είναι αυτόματα το όριο πολιτικής. Ρωτήστε για τις επιτρεπόμενες διευθύνσεις πηγής, τα μεταφορικά μέσα και τις θύρες ταυτόχρονα με την παράδοση, γιατί μια προωθημένη θύρα που το άκρο απορρίπτει δεν φτάνει ποτέ στον κανόνα σας.

Διαβάστε την παράδοση ως σύμβαση υπηρεσίας

Σημειώστε πέντε τιμές πριν αγγίξετε τον δρομολογητή του εργαστηρίου: τη διεύθυνση διεπαφής που σας ανατέθηκε, το μήκος του προθέματος, το επόμενο άλμα, τη διεύθυνση προορισμού που θα χρησιμοποιήσουν οι εξωτερικοί πελάτες και το ακριβές πρωτόκολλο και τη θύρα. Ο προορισμός είναι ο ενδιαφέρων, γιατί μπορεί να μην είναι καθόλου διεύθυνση ρυθμισμένη στη συσκευή σας. Αν το ανάντη άκρο περιμένει οι πελάτες να φτάνουν σε μια μεταφρασμένη διεύθυνση, το τοπικό DNAT πρέπει να ταιριάζει με αυτό το συμβόλαιο και όχι με τη διεύθυνση διεπαφής που βλέπετε.

Η συζήτηση του IETF για τη συμπεριφορά των τειχών προστασίας είναι μια χρήσιμη υπενθύμιση ότι το φιλτράρισμα και η μετάφραση είναι ξεχωριστές λειτουργίες. Εξηγεί γιατί ένας δρομολογητής μπορεί να επιβάλλει πολιτική εισόδου χωρίς να κρύβει διευθύνσεις, και γιατί το NAT κάπου ανάντη δεν αποδεικνύει ότι το φιλτράρισμα γίνεται εκεί. Αντιμετωπίστε την παράδοση ως περιγραφή υπηρεσίας με ιδιοκτήτη και διαδικασία αλλαγής.

Παρατηρήστε μία προσπάθεια στα δύο όρια

Μία στενή, εγκεκριμένη προσπάθεια συσχετισμένη σε δύο σημεία αντικαθιστά ένα σωρό εικασίες. Εκτελέστε μια καταγραφή στη διεπαφή WAN του εργαστηρίου για την ακριβή πλειάδα, και ζητήστε από τον ιδιοκτήτη του ανάντη άκρου να παρατηρήσει την ίδια πλειάδα στο άκρο. Κρατήστε προορισμό, πρωτόκολλο, θύρα, πηγή και χρονική σφραγίδα ίδια μεταξύ των δύο όψεων.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Διαβάστε το ζεύγος αποτελεσμάτων ως απόφαση. Ιδωμένο στο άκρο και ιδωμένο στο WAN του εργαστηρίου σημαίνει ότι η παράδοση και η πολιτική του άκρου περνούν και οι δύο, οπότε συνεχίστε με τον ακροατή ή το DNAT. Ιδωμένο στο άκρο αλλά όχι στο WAN του εργαστηρίου δείχνει παράδοση ή ενδιάμεση πολιτική, και η επόμενη κλήση είναι στον ιδιοκτήτη του ανάντη άκρου. Ιδωμένο πουθενά σημαίνει ότι η δοκιμαστική πλειάδα, η πηγή ή η διαδρομή είναι λάθος πριν από οποιοδήποτε ερώτημα τείχους προστασίας.

Η απουσία απόδειξης σε μία καταγραφή δεν είναι απόδειξη τείχους προστασίας. Είναι ένα αποτέλεσμα ορίου που σας λέει ποια συσκευή να εξετάσετε στη συνέχεια.

Μην αφήσετε το τοπικό NAT να κρύψει την απάντηση

Ο τοπικός κανόνας γίνεται ενδιαφέρων μόνο αφού επιβεβαιωθεί η είσοδος. Επιβεβαιώστε ότι ο στόχος του DNAT είναι η πραγματική διεύθυνση και θύρα του ακροατή VPN, ότι η προώθηση είναι ενεργοποιημένη για την σχετική οικογένεια και ότι η απάντηση φεύγει από τη διεπαφή από την οποία έφτασε το αίτημα. Ένας κανόνας που ξαναγράφει τον προορισμό αλλά όχι τη διαδρομή επιστροφής παράγει το ίδιο χρονικό όριο με ένα απορριφθέν πακέτο.

Διατηρήστε την ασφάλεια θύρας και την παράδοση παραγωγής όσο ερευνάτε. Η αντικατάσταση του δρομολογητή ή η πλαστογράφηση της διεύθυνσης MAC του για να παρακάμψετε τους ελέγχους σύνδεσης ανταλλάσσει μια διάγνωση με μια διακοπή. Μια θύρα κατόπτρου ή μια εγκεκριμένη καταγραφή δίνει την ίδια ορατότητα χωρίς να αποσυνδέει υπηρεσίες που μοιράζονται τον σύνδεσμο.

Τελειώστε με τον χάρτη ιδιοκτησίας: προορισμός, συσκευή παράδοσης, συσκευή φιλτραρίσματος, είσοδος εργαστηρίου και ακροατής. Αυτός ο χάρτης κάνει την επόμενη αναθεώρηση προώθησης θυρών μικρή και δεν πιστοποιεί τίποτα για το ίδιο το VPN.