Portu guztiak hartzen dituen birbidalketak zure WireGuard entzulea irentsi dezake
Birbidalketa arau zabal batek atearen WireGuard eta SSH entzule propioak irentsi ditzake. Hautatu arau estuagoak edo helbide publiko bereizi bat, eta gero probatu kontrol bidea.
Ate publiko batek jada WireGuard exekutatzen du UDP 51820n, SSH 22n eta internetetik irisgarria izan behar duen aplikazio bat. Arau tentagarriak portu guztiak peer-era birbidaltzen ditu eta lana amaitutzat ematen du. WireGuard ate batean arau horrek tunelaren garraio propioa harrapa dezake eta hura amaitzen duen makinatik kanpo utz zaitzake. Argitaratzea kontrol-planoarentzako salbuespena duen bideratze-erabakia da, ez DNAT lerro bakarra.
Sarrera publikoa edo tunel-sarrera: aukeratu bat
Zerbitzu bat argitaratzeak interneteko sarrera-puntu berri bat sortzen du. Ez da gauza bera peer bati VPN kidetza ematea, bisitariak ez baita inoiz tunelera elkartzen eta atea backendaren aurpegi publiko bihurtzen baita. Bereizketa horrek arauaren publikoa eta haren ziurtagiria erabakitzen ditu.
Administrazio interfazeak nekez dagozkio leku horri. VPN bezero baimenduek lortzen duten administrazio orrialde batek eraso-azalera tunelaren barruan mantentzen du eta saio-hasierako formularioa ausazko eskaneatzeari erakustea saihesten du. Aplikazioaren amaiera-puntu publikoek oraindik beren TLS ziurtagiria, autentikazioa eta tasa mugatzea behar dituzte; WireGuard jauzi zifratuak ez du bisitariaren hanka atea arte babesten.
Zerbitzuak benetan publiko izan behar badu, idatzi ostalari-izena, hura estaltzen duen ziurtagiria eta hura lortu behar duten bisitari-tarteak. Hiru gertaera horiek erabakitzen dituzte geroago arauaren forma eta iragazte-politika. Horietatik kanpo dagoen edozein gauza entzule publiko batean hedapen bat da.
Portu bat barrura, backend bat kanpora
Erabili portu publiko bat eta backend zerbitzu bat. Adibide honetan eth0-k 198.51.100.20 helbide publikoa darama, atearen tunel-helbidea 10.200.0.1 da eta peer-ak aplikazioa 10.200.0.7-n exekutatzen du. TCP 9443 publikoak peer-aren TCP 8443ra mapatzen du:
iptables -t nat -A PREROUTING -i eth0 -d 198.51.100.20 -p tcp --dport 9443 -j DNAT --to-destination 10.200.0.7:8443
iptables -t nat -A POSTROUTING -o wg0 -d 10.200.0.7 -p tcp --dport 8443 -m conntrack --ctorigdst 198.51.100.20 --ctorigdstport 9443 -j SNAT --to-source 10.200.0.1SNAT arauak itzulitako backendarekin eta jatorrizko helburu publikoarekin bat egiten du, beraz backend zerbitzu berarekiko beste konexio bat mapatze honetatik kanpo geratzen da. Bisitariaren helbidea peer-ari ezkutatzen dio ere, eta hori da iturria mantentzen duen itzulera bideratua diseinu bereizi bihurtzen duen trukea. iptables luzapenen erreferentziak bi helburuak eta haien bat etortze aukerak dokumentatzen ditu.
Birbidalketa oraindik gaitu behar da, eta iragazki-kateak baimena behar du itzulitako helburu eta portuarentzat, ezarritako erantzunekin batera. FORWARD kateak itzulitako helburua DNAT ondoren ikusten du, beraz helbide publikoaren aurka idatzitako araua ez dator bat birbidalitako paketearekin. Idatzi baimena backend tuplaren aurka, ez publikoaren aurka.
Peer-ak atearen tunel-helbidetik zerbitzu-konexioa onartu behar du eta erantzuna tunelaren bidez itzuli. Bere AllowedIPs-ek benetan jasotzen duen iturria baimendu behar du, eta iturburu-itzulpenarekin hori atearen tunel-helbidea da, eta 0.0.0.0/0 sarrera zabal bat peer guztietan ez da beharrezkoa diseinu honetarako. Itzulera-trafikoa botatzen duena zerrendan helbide hori baztertzen duen peer bat da, edo iturria mantentzen duen diseinu bat bisitariaren helbidea bera birbidaltzen duena, beraz egiaztatu peer-ak benetan ikusten duen iturria, zure arauan dagoena ez.
Mantendu atearen entzule propioak arautik kanpo
Aldatu portuaren bat etortzea TCP eta UDP helburu guztiak hartzen dituen arau batekin, eta atearen WireGuard socket propioa haren barruan erortzen da. Helburuaren itzulpena makinak paketea lokala dela erabaki aurretik gertatzen da, beraz UDP 51820 peer-arengana irits daiteke, peer konexio guztiak mantentzen dituen prozesura iritsi ordez. Araua ongi kargatzen da eta tunela hiltzen da, peer aldean irakurtzeko zaila den hutsegitea.
SSHk, monitorizazio-agenteek eta atean ostatatutako beste edozein zerbitzuk esposizio bera dute. Dena birbidaltzen duen arau batek ez du kontrol-planoa argitaratutako aplikaziotik bereizten, eta aldaketaren ondorengo lehen berrabiaraztea da blokeoa agerikoa egiten den unea. Dena hartzen duen arauak ez du isilpean bere gain hartzen duen zerbitzuaren berri ematen. Hurrengo konexioak huts egiten duenean aurkitzen duzu.
Birbidalketa zabala benetan beharrezkoa bada, erreserbatu kontrol-portuak dena hartzen duen araua baino lehen edo erabili helbide publiko bereizi bat argitaratzeko. Bigarren aukera garbiagoa da kontrol-helbideak bere politika mantentzen duelako, baina hornitzaileak helbide hori eman behar du; DNS erregistro bat gehitzeak ez du bat esleitzen.
TCP eta UDP birbidalketa zabalak ere ez dira protokolo guztiak. ICMPk, IPv6k, bidearen MTU atzeraelikadurak eta kanpoko VPN garraioak beren politika behar dute, eta TCP eta UDP hartzen dituen arau batek kasu horiek berezko kateari uzten dizkio.
Aukeratu eredua arauak idatzi aurretik
Lau formak ateen argitalpen gehienak hartzen dituzte, eta aukera exekutatzen dituzun zerbitzu kopuruaren eta kontrol-planoaren arrisku zenbat jasaten duzun araberakoa da. Beheko taulak estuena izatetik zabalena izatera ordenatzen ditu.
| Model | What it protects | Cost | Use when |
|---|---|---|---|
| Narrow port forward | Every other listener, including the VPN | One rule per service | Few services, stable ports |
| Catch-all with reserved ports | Ports named in the exception list | Rule order becomes critical | Many services and disciplined review |
| Separate public address | Control address fully isolated | Provider must supply the address | High-value publication |
| VPN-only access | No public entry at all | Visitors need the tunnel | Admin interfaces and internal tools |
Hasi eredu estuarrekin geroago zerbitzu gehiago espero badituzu ere. Auditatzeko errazena da, eta arau estuen multzo bat berrikusitako dena hartzen duen arau bihurtzea errazagoa da arau zabal batek zein entzule harrapatu zuen aurkitzea baino. Aukeratzen duzun eredua aukeratzen duzula, mantendu arauak suebakiaren jabearen eskuetan. UFW edo nftables konfigurazio baten ondoan iptables lerroak aplikatzeak, kate berberak kudeatzen dituenak, abio-ordenen arabera aldatzen den politika sortzen du.
Frogatu argitalpena eta kontrol-bidea
Probatu kanpoko bezero baimendu batetik onartutako ostalari-izenarekin eta harentzat baliozko ziurtagiriarekin. Egiaztatu zein backend-ek erantzun zuen, eta gero egiaztatu erlaziorik gabeko portu publikoek ukatuta jarraitzen dutela. Desgaitutako ziurtagiri-egiaztapena ez da gainditutako HTTPS proba bat, eta backend okerreko batera iristen den konexioa huts egiten duena baino okerragoa da.
Horren ondoren, egiaztatu atea bera: konektatu WireGuard peer bat, ireki SSH saio bat eta egiaztatu monitorizazioak oraindik txosten egiten duela. Argitaratutako zerbitzuak funtziona dezake kontrol-planoa apurtuta dagoen bitartean, beraz bi egiaztapenak aldaketa-leiho berean sartzen dira. Berrabiarazi behin arauak espero den ordenan berriro aplikatzen direla frogatzeko, gero kendu argitalpena eta egiaztatu kentzeak gehitzearekin benetan bat egiten duela. Abioan gehitze multzo handia eta kentze ez-osoa da proba bat behin-behinekotik irekiera iraunkor bihurtzeko modua.