Ohjataanko kaikki yhteen isäntään vai kirjoitetaanko myös portti uudelleen?

Kaiken ohjaaminen VPN-palvelimellesi voi kuvata kahta hyvin erilaista sääntöä. Toinen muuttaa kohdeosoitetta ja säilyttää saapuvan portin; toinen kirjoittaa myös portin uudelleen yhdelle kuuntelijalle. Altistus ei ole sama, ja päätös riippuu kolmesta ehdosta, ei reitittimen käyttöliittymän käyttämästä merkinnästä.

Ehto yksi: mitä kenttiä sääntö muuttaa?

Kohdeosoitteen käännös ja kohdeportin käännös ovat erillisiä toimintoja. Sääntö voi tehdä vain ensimmäisen tai molemmat yhdessä, ja ero ratkaisee, mitkä palvelut kohdeisännässä ovat tavoitettavissa. Useimmat laitevalmistajien käyttöliittymät piilottavat tämän valinnan yhden merkinnän taakse. Taustalla olevan säännön lukeminen on ainoa tapa tietää, kumman sait.

Lue varsinainen sääntö, älä valikon merkintää. Näyttö, jossa lukee DMZ tai kaikki portit, kuvaa aikomusta, ei paketin reittiä. Netfilter NAT -dokumentaatio erottaa kaksi käännöstä, ja se on oikea ajatusmalli myös silloin, kun edessäsi oleva reititin on kuluttajalaite.

Kaksi kenttää, kaksi eri kysymystä.

Ehto kaksi: mikä kuuntelee säilytetyillä porteilla?

Jos sääntö säilyttää saapuvan portin, jokainen saapuva portti toimitetaan samaan numeroon VPN-isännässä, isännän oman syöttökäytännön mukaisesti. Tämä kattaa palvelut, jotka olet ehkä unohtanut kuuntelevan. Sääntö ei luonut näitä palveluita, ja nyt se on reitti niihin.

Jos sääntö kirjoittaa portin uudelleen, tapahtuu päinvastoin: monet ulkoiset portit luhistuvat yhdelle kuuntelijalle, eikä mikään muu isännässä ole tavoitettavissa kyseisen säännön kautta. Kiinteän portin uudelleenkirjoitus ei muutu pääsyksi kaikkiin paikallisiin palveluihin vain siksi, että laaja ulkoisten porttien valikoima osui siihen. Kaksi mallia epäonnistuu eri suuntiin, ja epäonnistumistapa on se, minkä valitset. Valitse se, jonka epäonnistumisen kanssa voit elää.

Kartoita kuuntelija ennen valintaa.

Ehto kolme: kuinka leveä ulkoinen sisäänkäynti on?

Yhden valitun portin julkaiseminen on kapeampaa kuin alueen julkaiseminen, ja molemmat ovat kapeampia kuin kaiken hyväksyminen. Ulkoinen leveys ja sisäinen käännös ovat itsenäisiä valintoja, ja suurin osa sekaannuksesta syntyy siitä, että muutetaan toista samalla kun kuvataan toista.

Tavallista VPN-sisäänkäyntiä varten julkaise se siirtoprotokolla ja kuuntelija, jotka suunnittelu todella tarvitsee. Tarkista sitten kolme muuta asiaa: reitittimen tehokas kartoitus, kohdeisännän omat syöttösäännöt ja se, julkaiseeko IPv6-kuuntelija saman palvelun. Sääntö, joka näyttää kapealta yhdessä osoiteperheessä, voi olla leveä toisessa.

Kirjoita käännetty päätepiste kokonaan: protokolla, ulkoinen portti, sisäinen osoite, sisäinen portti.

Mitä kumpikaan sääntö ei anna sinulle

Kumpikaan malli ei todista, että palvelu on vapaa haavoittuvuuksista, eikä kumpikaan suojaa käytettävyyttä. Todennus, päivitykset ja palautus pysyvät mukana riippumatta siitä, kuinka kapea porttikartoitus on. Kapea kartoitus pienentää tavoitettavissa olevaa pintaa; se ei tee kuuntelijasta turvallista.

Laaja sääntö, joka jo tukee toista laillista palvelua, on riippuvuus, ei vain virhe. Kartoita se ja korvaa se omistajansa kautta ennen poistamista, muuten muutos näyttää turvakorjauksen aiheuttamalta katkokselta. Sama varovaisuus koskee kiinteän portin uudelleenkirjoitusta, johon jokin muu nojaa hiljaa.

Altistusanalyysi kertoo siitä, mikä voi yltää mihin, ei näytön merkinnästä.

Päätä käännetty päätepiste käsissäsi

Kirjoita säännön tulos lauseena: julkinen UDP-portti X saavuttaa osoitteen Y portin Z. Kysy sitten, mitkä palvelut osoitteessa Y voivat vastata portissa Z ja kuka ne omistaa.

nft list ruleset

Jos vastaus on se yksi kuuntelija, jonka tarkoitit, sääntö tekee tehtävänsä.

Jos vastaus on useita, olet valinnut ohjauksen koko isäntään, kutsui käyttöliittymä sitä siksi tai ei.