Ĉu la supra enkursigilo vere liveras envenantajn VPN-pordojn?

Tri kondiĉoj decidas, ĉu pordea plusendo sur la laboratoria enkursigilo publikigas ion ajn: kion liveras la supra rando, kiun politikon ĝi aplikas, kaj ĉu respondoj revenas laŭ la sama vojo. Publike aspektanta adreso respondas neniun el ili. Ankaŭ ne /30-prefikso aŭ funkcianta elira konekto. Ordigi tiujn kondiĉojn antaŭ ol ŝanĝi NAT, alie la loka regulo aspektos difektita dum la blokado sidas du saltojn for.

Tri respondoj decidas al kiu vi eskaladas

La posedanto de la supra rando povas priskribi la transdonon unu el tri manieroj. La celo estas liverata rekte al via interfaco, aparta prefikso estas enkursigata al via sekva salto, aŭ io antaŭe tradukas la adreson antaŭ ol ĝi atingas vin. Ĉiu respondo nomas malsaman aparaton, kiu devas permesi la envenantan konekton, kaj malsaman teamon, kiun oni voku kiam tio ne okazas.

Filtrado estas la kvara variablo kaj ĝi estas sendependa de ĉiuj tri. Reto povas filtri trafikon, kiu konservas sian publikan adreson, kaj tradukilo ne aŭtomate estas la politika limo. Demandi pri permesataj fontaj adresoj, transportoj kaj pordoj samtempe kun la liverado, ĉar plusendita pordo, kiun la rando faligas, neniam atingas vian regulon.

Legu la transdonon kiel servan kontrakton

Notu kvin valorojn antaŭ ol tuŝi la laboratorian enkursigilon: la asignita interfaca adreso, la prefiksa longo, la sekva salto, la celadreso, kiun uzos eksteraj klientoj, kaj la ĝusta protokolo kaj pordo. La celo estas la interesa, ĉar ĝi eble tute ne estas adreso agordita sur via aparato. Se la supra rando atendas, ke klientoj atingos tradukatan adreson, loka DNAT devas kongrui kun tiu kontrakto anstataŭ kun la interfaca adreso, kiun vi vidas.

La IETF-diskuto pri fajroŝirma konduto estas utila memorigo, ke filtrado kaj tradukado estas apartaj funkcioj. Ĝi klarigas, kial enkursigilo povas plenumi envenan politikon sen kaŝi adresojn, kaj kial NAT ie supre ne pruvas, ke filtrado okazas tie. Traktu la transdonon kiel prisribon de servo kun posedanto kaj ŝanĝa procezo.

Observu unu provon ĉe ambaŭ limoj

Unu mallarĝa, aprobita provo korelaciita ĉe du punktoj anstataŭas amason da konjektoj. Rulu kapton sur la WAN-interfaco de la laboratorio por la ĝusta tuple, kaj petu la posedanton de la supra rando observi la saman tuple ĉe la rando. Tenu celon, protokolon, pordon, fonton kaj tempostampon identaj inter la du vidpunktoj.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Legu la paron da rezultoj kiel decidon. Vidita ĉe la rando kaj vidita sur la laboratoria WAN signifas, ke kaj liverado kaj randa politiko pasas, do daŭrigu kun la aŭskultanto aŭ DNAT. Vidita ĉe la rando sed ne sur la laboratoria WAN montras al liverado aŭ meza politiko, kaj la sekva voko estas al la posedanto de la supra rando. Vidita nenie signifas, ke la testa tuple, la fonto aŭ la vojo estas malĝustaj antaŭ ajna fajroŝirma demando.

Manko de pruvo en unu kapto ne estas pruvo de fajroŝirmo. Ĝi estas lima rezulto, kiu diras al vi, kiun aparaton inspekti poste.

Ne lasu lokan NAT kaŝi la respondon

Nur post kiam enveno estas konfirmita, la loka regulo fariĝas interesa. Konfirmu, ke la DNAT-celo estas la reala adreso kaj pordo de la VPN-aŭskultanto, ke plusendo estas ŝaltita por la koncerna familio, kaj ke la respondo eliras tra la interfaco, tra kiu alvenis la peto. Regulo, kiu reskribas la celon sed ne la revenan vojon, produktas la saman tempolimon kiel faligita paketo.

Konservu pordan sekurecon kaj la produktoproduktan transdonon dum vi esploras. Anstataŭigi la enkursigilon aŭ falsigi ĝian MAC-adreson por preterpasi ligajn kontrolojn interŝanĝas diagnozon kontraŭ interrompo. Spegula pordo aŭ aprobita kapto donas la saman videblecon sen malkonekti servojn, kiuj dividas la ligon.

Finu per la posedeca mapo: celo, liveranta aparato, filtranta aparato, laboratoria enveno kaj aŭskultanto. Tiu mapo malgrandigas la sekvan revizion de porda plusendo, kaj ĝi aŭtentigas nenion pri la VPN mem.