Benetan ematen al ditu goi-mailako bideratzaileak sarrerako VPN atakak?

Hiru baldintzak erabakitzen dute laborategiko bideratzailean ataka bat birbideratzeak ezer argitaratuko duen: goi-mailako ertzak zer ematen duen, zein politika aplikatzen duen eta erantzunak bide beretik itzultzen diren. Publiko itxura duen helbide batek ez dio horietako bati ere erantzuten. Ezta /30 aurrizki batek edo funtzionatzen duen irteerako konexio batek ere. Sailkatu baldintza horiek NAT aldatu aurretik, bestela tokiko araua hautsita agertuko da blokeoa bi jauzi urrunago dagoenean.

Hiru erantzunek erabakitzen dute norengana eskalatu

Goi-mailako ertzeko jabeak hiru moduetako batean deskriba dezake entrega. Helmuga zuzenean zure interfazera ematen da, aurrizki bereizi bat zure hurrengo jauzira bideratzen da, edo zerbait aurrealdean helbidea itzultzen du zuregana iritsi aurretik. Erantzun bakoitzak sarrerako konexioa baimendu behar duen gailu ezberdin bat izendatzen du, eta hori gertatzen ez denean deitu beharreko talde ezberdin bat.

Iragazketa laugarren aldagaia da eta hirurekiko independentea da. Sare batek bere helbide publikoa gordetzen duen trafikoa iragazi dezake, eta itzultzaile bat ez da automatikoki politikaren muga. Galdetu baimendutako jatorrizko helbideei, garraioei eta atakei buruz entrega egiten den aldi berean, ertzak botatzen duen ataka birbideratuak ez baitu inoiz zure araura iristen.

Irakurri entrega zerbitzu-kontratu gisa

Idatzi bost balio laborategiko bideratzailea ukitu aurretik: esleitutako interfaze helbidea, aurrizkiaren luzera, hurrengo jauzia, kanpoko bezeroek erabiliko duten helmuga helbidea, eta protokolo eta ataka zehatzak. Helmuga da interesgarriena, agian ez baita zure gailuan konfiguratutako helbide bat ere. Goi-mailako ertzak bezeroak itzulitako helbide batera iristea espero badu, tokiko DNATek kontratu horrekin bat etorri behar du, ez ikusten duzun interfaze helbidearekin.

IETFren suebakien portaerari buruzko eztabaida gogorarazpen erabilgarria da iragazketa eta itzulpena funtzio desberdinak direla. Azaltzen du zergatik bideratzaile batek sarrerako politika bete dezakeen helbideak ezkutatu gabe, eta zergatik goi-mailan nonbait NAT egoteak ez duen frogatzen iragazketa hor egiten denik. Hartu entrega zerbitzu deskribapen gisa, jabe bat eta aldaketa prozesu bat dituela.

Beha ezazu saiakera bat bi mugetan

Bi puntutan korrelatutako saiakera estu eta onartu batek asmamen pila bat ordezkatzen du. Exekutatu harrapaketa bat laborategiko WAN interfazean tupla zehatzerako, eta eskatu goi-mailako ertzeko jabeari tupla bera ertzean behatzeko. Mantendu helmuga, protokoloa, ataka, iturria eta denbora-zigilua berdinak bi ikuspegien artean.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Irakurri emaitzen bikotea erabaki gisa. Ertzean ikusia eta laborategiko WANean ikusia esan nahi du entrega eta ertzaren politika biak pasatzen direla, beraz jarraitu entzulearekin edo DNATekin. Ertzean ikusia baina laborategiko WANean ikusi gabea entrega edo tarteko politika batera doa, eta hurrengo deia goi-mailako ertzeko jabeari dagokio. Inon ikusi gabea esan nahi du probako tupla, iturria edo bidea okerrak direla suebakiari buruzko edozein galdera baino lehen.

Harrapaketa batean ebidentziarik ez egotea ez da suebaki baten froga. Mugako emaitza bat da, hurrengo zein gailu ikuskatu behar duzun esaten dizuna.

Ez utzi tokiko NATek erantzuna ezkutatzen

Sarrera baieztatu ondoren bakarrik bihurtzen da tokiko araua interesgarri. Baieztatu DNAT helburua VPN entzulearen benetako helbidea eta ataka direla, birbidalketa familia egokirako gaituta dagoela eta erantzuna eskaera iritsi zen interfazetik irteten dela. Helmuga berridazten duen baina itzulera bidea ez duen arau batek pakete botatakoaren itxarote-denbora bera sortzen du.

Mantendu atakaren segurtasuna eta ekoizpen entrega ikertzen ari zaren bitartean. Bideratzailea ordezkatzeak edo haren MAC helbidea faltsutzeak atxikimendu kontrolak saihesteko diagnostiko bat etendura baten truke aldatzen du. Ispilu ataka batek edo onartutako harrapaketa batek ikusgaitasun bera ematen du esteka partekatzen duten zerbitzuak deskonektatu gabe.

Amaitu jabetza-maparekin: helmuga, entregatzen duen gailua, iragazten duen gailua, laborategiko sarrera eta entzulea. Mapa horrek hurrengo ataka-birbidalketa berrikusketa txiki egiten du, eta ez du ezer autentifikatzen VPNari berari buruz.