¿El router de aguas arriba entrega realmente los puertos VPN de entrada?

Tres condiciones deciden si un reenvío de puerto en el router del laboratorio publica algo: qué entrega el borde de aguas arriba, qué política aplica y si las respuestas vuelven por el mismo camino. Una dirección que parece pública no responde a ninguna. Tampoco lo hace un prefijo /30 ni una conexión saliente que funcione. Ordene esas condiciones antes de cambiar el NAT, o la regla local parecerá rota cuando el bloqueo esté a dos saltos de distancia.

Tres respuestas deciden a quién escalar

El propietario de aguas arriba puede describir la entrega de una de tres maneras. El destino se entrega directamente a su interfaz, un prefijo separado se enruta a su siguiente salto, o algo delante traduce la dirección antes de que llegue a usted. Cada respuesta nombra un dispositivo distinto que debe permitir la conexión entrante y un equipo distinto al que llamar cuando no lo hace.

El filtrado es la cuarta variable y es independiente de las tres. Una red puede filtrar tráfico que conserva su dirección pública, y un traductor no es automáticamente la frontera de política. Pregunte por las direcciones de origen, transportes y puertos permitidos al mismo tiempo que por la entrega, porque un puerto reenviado que el borde descarta nunca llega a su regla.

Lea la entrega como un contrato de servicio

Anote cinco valores antes de tocar el router del laboratorio: la dirección de interfaz asignada, la longitud del prefijo, el siguiente salto, la dirección de destino que usarán los clientes externos y el protocolo y puerto exactos. El destino es el interesante, porque puede que no sea ninguna dirección configurada en su dispositivo. Si el borde de aguas arriba espera que los clientes lleguen a una dirección traducida, el DNAT local debe coincidir con ese contrato y no con la dirección de interfaz que ve.

La discusión del IETF sobre el comportamiento de los cortafuegos es un recordatorio útil de que el filtrado y la traducción son funciones separadas. Explica por qué un router puede aplicar política de entrada sin ocultar direcciones, y por qué el NAT en algún punto de aguas arriba no demuestra que el filtrado ocurra allí. Trate la entrega como una descripción de servicio con un propietario y un proceso de cambio.

Observe un intento en ambos bordes

Un intento estrecho y aprobado, correlacionado en dos puntos, sustituye un montón de conjeturas. Ejecute una captura en la interfaz WAN del laboratorio para la tupla exacta, y pida al propietario de aguas arriba que observe la misma tupla en el borde. Mantenga destino, protocolo, puerto, origen y marca de tiempo idénticos entre las dos vistas.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Lea el par de resultados como una decisión. Visto en el borde y visto en la WAN del laboratorio significa que tanto la entrega como la política del borde pasan, así que continúe con el oyente o el DNAT. Visto en el borde pero no en la WAN del laboratorio apunta a la entrega o a una política intermedia, y la siguiente llamada es al propietario de aguas arriba. No visto en ningún sitio significa que la tupla de prueba, el origen o el camino son erróneos antes de cualquier pregunta sobre el cortafuegos.

La ausencia de pruebas en una captura no es prueba de un cortafuegos. Es un resultado de frontera que le dice qué dispositivo inspeccionar después.

Evite que el NAT local oculte la respuesta

Solo después de confirmar la entrada se vuelve interesante la regla local. Confirme que el objetivo del DNAT es la dirección y el puerto reales del oyente VPN, que el reenvío está habilitado para la familia correspondiente y que la respuesta sale por la interfaz por la que llegó la solicitud. Una regla que reescribe el destino pero no el camino de vuelta produce el mismo tiempo de espera que un paquete descartado.

Mantenga la seguridad del puerto y la entrega de producción mientras investiga. Sustituir el router o falsificar su dirección MAC para saltarse los controles de conexión cambia un diagnóstico por una interrupción. Un puerto espejo o una captura aprobada dan la misma visibilidad sin desconectar servicios que comparten el enlace.

Termine con el mapa de propiedad: destino, dispositivo que entrega, dispositivo que filtra, entrada del laboratorio y oyente. Ese mapa hace pequeña la siguiente revisión del reenvío de puertos, y no autentica nada sobre el VPN en sí.