¿Reenviar todo a un solo host o reescribir también el puerto?

Reenviar todo a su servidor VPN puede describir dos reglas muy distintas. Una cambia la dirección de destino y conserva el puerto entrante; la otra también reescribe el puerto hacia un único receptor. La exposición no es la misma, y la decisión depende de tres condiciones, no de la etiqueta que use la interfaz del router.

Condición uno: ¿qué campos cambia la regla?

La traducción de la dirección de destino y la traducción del puerto de destino son operaciones separadas. Una regla puede realizar solo la primera o ambas a la vez, y la diferencia decide qué servicios del host de destino son accesibles. La mayoría de las interfaces de fabricantes esconden esa elección tras una sola etiqueta. Leer la regla subyacente es la única forma de saber cuál obtuvo.

Lea la regla real, no la etiqueta del menú. Una pantalla que dice DMZ o todos los puertos describe una intención, no una ruta de paquetes. La documentación de Netfilter NAT separa las dos traducciones, y ese es el modelo mental correcto incluso cuando el router que tiene delante es un aparato doméstico.

Dos campos, dos preguntas distintas.

Condición dos: ¿qué escucha en los puertos conservados?

Si la regla conserva el puerto entrante, cada puerto que llega se entrega al mismo número del host VPN, sujeto a la política de entrada de ese host. Eso incluye servicios que quizá olvidó que estaban escuchando. La regla no creó esos servicios, y ahora es el camino hacia ellos.

Si la regla reescribe el puerto, ocurre lo contrario: muchos puertos externos se colapsan en un solo receptor, y nada más del host es accesible a través de esa regla. Una reescritura de puerto fijo no se convierte en acceso a todos los servicios locales solo porque encajó un rango amplio de puertos externos. Los dos diseños fallan en direcciones distintas, y el modo de fallo es lo que usted elige. Elija aquel con cuyo fallo pueda convivir.

Inventaríe el receptor antes de elegir.

Condición tres: ¿qué tan ancha es la entrada exterior?

Publicar un solo puerto seleccionado es más estrecho que publicar un rango, y ambos son más estrechos que aceptarlo todo. La anchura exterior y la traducción interior son elecciones independientes, y la mayor parte de la confusión viene de cambiar una mientras se describe la otra.

Para una entrada VPN corriente, publique el transporte y el receptor que el diseño realmente necesita. Después revise tres cosas más: el mapeo efectivo del router, las reglas de entrada propias del host de destino y si un receptor IPv6 publica el mismo servicio. Una regla que parece estrecha en una familia de direcciones puede ser ancha en la otra.

Escriba el extremo traducido completo: protocolo, puerto exterior, dirección interior, puerto interior.

Lo que no le da ninguna de las dos reglas

Ninguno de los dos diseños demuestra que el servicio esté libre de vulnerabilidades, y ninguno protege la disponibilidad. La autenticación, las actualizaciones y la recuperación siguen dentro del alcance por muy estrecho que sea el mapeo de puertos. Un mapeo estrecho reduce la superficie accesible; no hace seguro al receptor.

Una regla amplia que ya sostiene otro servicio legítimo es una dependencia, no solo un error. Inventaríela y sustitúyala a través de su propietario antes de retirarla, o el cambio parecerá una caída causada por una corrección de seguridad. La misma precaución se aplica a una reescritura de puerto fijo de la que algo más depende en silencio.

El análisis de exposición trata de qué puede llegar a qué, no de la etiqueta en la pantalla.

Decida con el extremo traducido en la mano

Escriba el resultado de la regla como una frase: el puerto UDP público X llega a la dirección Y puerto Z. Luego pregunte qué servicios en Y pueden responder en Z y quién es su dueño.

nft list ruleset

Si la respuesta es el único receptor que pretendía, la regla cumple su función.

Si la respuesta es varios, ha elegido reenvío a todo el host, tanto si la interfaz lo llamó así como si no.