Ĉu plusendi ĉion al unu gastiganto, aŭ ankaŭ reskribi la pordon?

Plusendi ĉion al via VPN-servilo povas priskribi du tre malsamajn regulojn. Unu ŝanĝas la celan adreson kaj konservas la envenantan pordon; la alia ankaŭ reskribas la pordon al unu sola aŭskultanto. La eksponiĝo ne estas sama, kaj la decido dependas de tri kondiĉoj, ne de la etikedo, kiun uzas la fasado de la enkursigilo.

Kondiĉo unu: kiujn kampojn ŝanĝas la regulo?

Traduko de cela adreso kaj traduko de cela pordo estas apartaj operacioj. Regulo povas plenumi nur la unuan aŭ ambaŭ kune, kaj la diferenco decidas, kiuj servoj sur la cela gastiganto estas atingeblaj. Plej multaj vendistaj fasadoj kaŝas tiun elekton malantaŭ unu etikedo. Legi la suban regulon estas la sola maniero scii, kiun vi ricevis.

Legu la faktan regulon, ne la menuetikedo. Ekrano, kiu diras DMZ aŭ ĉiuj pordoj, priskribas intencon, ne pakan vojon. La dokumentaro de Netfilter NAT apartigas la du tradukojn, kaj tio estas la ĝusta pensmodelo eĉ kiam la enkursigilo antaŭ vi estas konsumanta aparato.

Du kampoj, du malsamaj demandoj.

Kondiĉo du: kio aŭskultas sur la konservitaj pordoj?

Se la regulo konservas la envenantan pordon, ĉiu alvenanta pordo estas liverata al la sama numero sur la VPN-gastiganto, laŭ la eniga politiko de tiu gastiganto. Tio inkluzivas servojn, kiujn vi eble forgesis aŭskultantaj. La regulo ne kreis tiujn servojn, kaj ĝi nun estas la vojo al ili.

Se la regulo reskribas la pordon, okazas la malo: multaj eksteraj pordoj kunfalas sur unu aŭskultanton, kaj nenio alia sur la gastiganto estas atingebla per tiu regulo. Reskribo al fiksa pordo ne fariĝas aliro al ĉiu loka servo nur ĉar larĝa gamo da eksteraj pordoj kongruis kun ĝi. La du dezajnoj malsukcesas en malsamaj direktoj, kaj la malsukcesa reĝimo estas tio, kion vi elektas. Elektu tiun, kies malsukceson vi povas elteni.

Inventaru la aŭskultanton antaŭ ol elekti.

Kondiĉo tri: kiom larĝa estas la ekstera enirejo?

Publikigi unu elektitan pordon estas pli mallarĝa ol publikigi gamon, kaj ambaŭ estas pli mallarĝaj ol akcepti ĉion. La ekstera larĝo kaj la interna traduko estas sendependaj elektoj, kaj plej multo de la konfuzo venas de ŝanĝi unu dum vi priskribas la alian.

Por ordinara VPN-enirejo, publikigu la transporton kaj la aŭskultanton, kiujn la dezajno efektive bezonas. Poste revizuu tri pliajn aferojn: la efektivan mapadon de la enkursigilo, la proprajn enigajn regulojn de la cela gastiganto, kaj ĉu IPv6-a aŭskultanto publikigas la saman servon. Regulo, kiu aspektas mallarĝa en unu adresa familio, povas esti larĝa en la alia.

Skribu la tradukitan finpunkton plene: protokolo, ekstera pordo, interna adreso, interna pordo.

Kion donas al vi nek unu nek la alia regulo

Neniu el la du dezajnoj pruvas, ke la servo estas libera de vundeblecoj, kaj neniu protektas haveblecon. Aŭtentigo, ĝisdatigoj kaj restarigo restas en la amplekso sendepende de tio, kiom mallarĝa estas la porda mapado. Mallarĝa mapado malgrandigas la atingeblan surfacon; ĝi ne faras la aŭskultanton sekura.

Larĝa regulo, kiu jam subtenas alian legitiman servon, estas dependeco, ne nur eraro. Inventaru ĝin kaj anstataŭigu ĝin tra ĝia posedanto antaŭ ol forigi ĝin, alie la ŝanĝo aspektos kiel interrompo kaŭzita de sekureca korekto. La sama singardo validas por reskribo al fiksa pordo, sur kiun io alia kviete fidas.

Eksponiĝa analizo temas pri tio, kio povas atingi kion, ne pri la etikedo sur la ekrano.

Decidu kun la tradukita finpunkto en la mano

Skribu la rezulton de la regulo kiel frazon: publika UDP-pordo X atingas adreson Y pordon Z. Poste demandu, kiuj servoj ĉe Y povas respondi sur Z kaj kiu posedas ilin.

nft list ruleset

Se la respondo estas la unu aŭskultanto, kiun vi intencis, la regulo faras sian taskon.

Se la respondo estas pluraj, vi elektis plusendadon al la tuta gastiganto, ĉu la fasado nomis ĝin tiel aŭ ne.