Kas ülemvoolu ruuter toimetab tõesti sissetulevaid VPN-porte kohale?

Kolm tingimust otsustavad, kas labori ruuteril tehtud pordi edasisaatmine midagi avaldab: mida ülemvoolu serv kohale toimetab, millist poliitikat see rakendab ja kas vastused tulevad tagasi sama teed. Avalikuna näiv aadress ei vasta neist ühelegi. Seda ei tee ka /30-prefiks ega töötav väljuv ühendus. Sorteeri need tingimused enne NAT-i muutmist, muidu näeb kohalik reegel katki välja, kui blokeering on kaks hüpet eemal.

Kolm vastust otsustavad, kelle poole eskaleerida

Ülemvoolu omanik saab üleandmist kirjeldada ühel kolmest viisist. Sihtkoht toimetatakse otse sinu liidesele, eraldi prefiks suunatakse sinu järgmisele hüppele või midagi ees tõlgib aadressi enne, kui see sinuni jõuab. Iga vastus nimetab erinevat seadet, mis peab sissetuleva ühenduse lubama, ja erinevat meeskonda, kellele helistada, kui seda ei juhtu.

Filtreerimine on neljas muutuja ja see on kõigist kolmest sõltumatu. Võrk võib filtreerida liiklust, mis säilitab oma avaliku aadressi, ja tõlkija ei ole automaatselt poliitika piir. Küsi lubatud lähteaadresside, transportide ja portide kohta samal ajal kui kohaletoimetamise kohta, sest edasisuunatud port, mille serv maha viskab, ei jõua kunagi sinu reeglini.

Loe üleandmist teenuselepinguna

Kirjuta üles viis väärtust enne, kui labori ruuterit puutud: määratud liidese aadress, prefiksi pikkus, järgmine hüpe, sihtaadress, mida välised kliendid kasutavad, ning täpne protokoll ja port. Huvitav on just sihtkoht, sest see ei pruugi üldse olla sinu seadmes konfigureeritud aadress. Kui ülemvoolu serv ootab, et kliendid jõuaksid tõlgitud aadressile, peab kohalik DNAT vastama sellele lepingule, mitte liidese aadressile, mida sa näed.

IETF-i tulemüüri käitumise arutelu on kasulik meeldetuletus, et filtreerimine ja tõlkimine on eraldi funktsioonid. See selgitab, miks ruuter saab rakendada sissetulevat poliitikat aadresse peitmata, ja miks NAT kuskil ülemvoolus ei tõesta, et filtreerimine toimub just seal. Käsitle üleandmist teenusekirjeldusena, millel on omanik ja muudatusprotsess.

Jälgi üht katset mõlemas piiris

Üks kitsas, heakskiidetud katse, mis on korreleeritud kahes punktis, asendab hunniku oletusi. Käivita labori WAN-liidesel püüe täpse tuple jaoks ja palu ülemvoolu omanikul jälgida sama tuple'i servas. Hoia sihtkoht, protokoll, port, allikas ja ajatempel kahe vaate vahel identsed.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Loe tulemuste paari otsusena. Servas nähtu ja labori WAN-il nähtu tähendab, et nii kohaletoimetamine kui ka serva poliitika läbivad, seega jätka kuulajaga või DNAT-iga. Servas nähtu, kuid mitte labori WAN-il, viitab kohaletoimetamisele või vahepealsele poliitikale, ja järgmine kõne on ülemvoolu omanikule. Mitte kuskil nähtu tähendab, et test-tuple, allikas või tee on valed juba enne mis tahes tulemüüriküsimust.

Tõendite puudumine ühes püüdes ei ole tulemüüri tõestus. See on piiritulennus, mis ütleb, millist seadet järgmisena uurida.

Ära lase kohalikul NAT-il vastust peita

Alles pärast sissetuleva liikluse kinnitamist muutub kohalik reegel huvitavaks. Kinnita, et DNAT-i sihtmärk on VPN-kuulaja tegelik aadress ja port, et edasisaatmine on asjakohase perekonna jaoks lubatud ja et vastus väljub liidesest, mille kaudu päring saabus. Reegel, mis kirjutab ümber sihtkoha, kuid mitte tagasitee, tekitab sama aegumise nagu mahavisatud pakett.

Säilita uurimise ajal pordi turvalisus ja tootmise üleandmine. Ruuteri väljavahetamine või selle MAC-aadressi võltsimine, et liitumiskontrollidest mööda minna, vahetab diagnostika katkestuse vastu. Peegelport või heakskiidetud püüe annab sama nähtavuse, ilma et lülitaks välja teenuseid, mis linki jagavad.

Lõpeta omandikaardiga: sihtkoht, kohaletoimetav seade, filtreeriv seade, labori sissepääs ja kuulaja. See kaart teeb järgmise pordi edasisaatmise ülevaatuse väikeseks ja ei autendi VPN-i enda kohta midagi.