Kas suunata kõik ühte hosti või kirjutada ümber ka port?

Kõige suunamine teie VPN-serverile võib kirjeldada kahte väga erinevat reeglit. Üks muudab sihtkoha aadressi ja hoiab sissetuleva pordi; teine kirjutab pordi ümber ühele ainsale kuulajale. Kokkupuude ei ole sama ja otsus sõltub kolmest tingimusest, mitte ruuteri liidese kasutatavast sildist.

Esimene tingimus: milliseid välju reegel muudab?

Sihtkoha aadressi tõlkimine ja sihtkoha pordi tõlkimine on eraldi toimingud. Reegel võib teha ainult esimest või mõlemat korraga, ja erinevus otsustab, millised teenused sihtkohas on kättesaadavad. Enamik tootjaliideseid peidab selle valiku ühe sildi taha. Alusreegli lugemine on ainus viis teada, millise te saite.

Lugege tegelikku reeglit, mitte menüü silti. Ekraan, millel on DMZ või kõik pordid, kirjeldab kavatsust, mitte paketi teekonda. Netfilter NAT dokumentatsioon eraldab kaks tõlget ja see on õige mõttemudel ka siis, kui ruuter teie ees on tarbijaese.

Kaks välja, kaks erinevat küsimust.

Teine tingimus: mis kuulab säilitatud portidel?

Kui reegel säilitab sissetuleva pordi, toimetatakse iga saabuv port VPN-hosti samale numbrile, sõltudes selle hosti sisendpoliitikast. See hõlmab teenuseid, mille kohta võisite unustada, et need kuulavad. Reegel ei loonud neid teenuseid ja nüüd on see tee nendeni.

Kui reegel kirjutab pordi ümber, juhtub vastupidine: paljud välised pordid koonduvad ühele kuulajale ja miski muu hostis ei ole selle reegli kaudu kättesaadav. Fikseeritud pordile ümberkirjutamine ei muutu juurdepääsuks igale kohalikule teenusele ainult seetõttu, et lai väliste portide vahemik sellele sobis. Kaks lahendust ebaõnnestuvad eri suundades ja tõrkerežiim on see, mille te valite. Valige see, mille tõrkega saate elada.

Enne valimist inventariseerige kuulaja.

Kolmas tingimus: kui lai on välimine sissepääs?

Ühe valitud pordi avaldamine on kitsam kui vahemiku avaldamine ja mõlemad on kitsamad kui kõige vastuvõtmine. Välimine laius ja sisemine tõlge on sõltumatud valikud ning enamik segadust tuleb sellest, et muudetakse ühte, samal ajal teist kirjeldades.

Tavalise VPN-sissepääsu jaoks avaldage transport ja kuulaja, mida lahendus tegelikult vajab. Seejärel vaadake üle veel kolm asja: ruuteri tegelik vastendus, sihtkoha hosti enda sisendreeglid ja kas IPv6 kuulaja avaldab sama teenust. Reegel, mis ühes aadressipere puhul tundub kitsas, võib teises olla lai.

Kirjutage tõlgitud lõpp-punkt täielikult: protokoll, välimine port, sisemine aadress, sisemine port.

Mida kumbki reegel teile ei anna

Kumbki lahendus ei tõesta, et teenus on haavatavustest vaba, ja kumbki ei kaitse kättesaadavust. Autentimine, uuendused ja taastamine jäävad ulatusse olenemata sellest, kui kitsas portide vastendus on. Kitsas vastendus vähendab kättesaadavat pinda; see ei muuda kuulajat turvaliseks.

Lai reegel, mis juba toetab teist seaduslikku teenust, on sõltuvus, mitte lihtsalt viga. Inventariseerige see ja asendage see omaniku kaudu enne eemaldamist, muidu näeb muudatus välja nagu turvaparandusest põhjustatud katkestus. Sama ettevaatus kehtib fikseeritud pordile ümberkirjutamise kohta, millele miski muu vaikselt toetub.

Kokkupuute analüüs räägib sellest, mis mis kohani jõuab, mitte ekraanil olevast sildist.

Otsustage tõlgitud lõpp-punkt käes

Kirjutage reegli tulemus lausena: avalik UDP-port X jõuab aadressile Y, port Z. Seejärel küsige, millised teenused Y juures saavad Z-le vastata ja kellele need kuuluvad.

nft list ruleset

Kui vastus on see üks kuulaja, mida kavatsesite, teeb reegel oma töö.

Kui vastuseid on mitu, olete valinud suunamise üle kogu hosti, ükskõik kas liides nimetas seda nii või mitte.