Toimittaako ylävirran reititin todella saapuvat VPN-portit?

Kolme ehtoa ratkaisee, julkaiseeko laboratorion reitittimellä tehty portin edelleenohjaus mitään: mitä ylävirran reuna toimittaa, mitä käytäntöä se soveltaa ja palaavatko vastaukset samaa reittiä. Julkiselta näyttävä osoite ei vastaa niistä yhteenkään. Ei myöskään /30-etuliite tai toimiva lähtevä yhteys. Lajittele nämä ehdot ennen NAT:n muuttamista, muuten paikallinen sääntö näyttää rikkinäiseltä, kun esto istuu kahden hypyn päässä.

Kolme vastausta ratkaisee, kenelle eskaloit

Ylävirran omistaja voi kuvata luovutuksen yhdellä kolmesta tavasta. Kohde toimitetaan suoraan rajapinnallesi, erillinen etuliite reititetään seuraavalle hypyllesi, tai jokin edessä kääntää osoitteen ennen kuin se saavuttaa sinut. Jokainen vastaus nimeää eri laitteen, jonka on sallittava saapuva yhteys, ja eri tiimin, jolle soitetaan, kun niin ei tapahdu.

Suodatus on neljäs muuttuja ja riippumaton kaikista kolmesta. Verkko voi suodattaa liikennettä, joka säilyttää julkisen osoitteensa, eikä kääntäjä ole automaattisesti käytännön raja. Kysy sallituista lähdeosoitteista, kuljetuksista ja porteista samaan aikaan kuin toimituksesta, koska edelleenohjattu portti, jonka reuna pudottaa, ei koskaan saavuta sääntöäsi.

Lue luovutus palvelusopimuksena

Kirjoita viisi arvoa muistiin ennen kuin kosket laboratorion reititintä: määritetty rajapinnan osoite, etuliitteen pituus, seuraava hyppy, kohdeosoite, jota ulkoiset asiakkaat käyttävät, sekä tarkka protokolla ja portti. Kohde on kiinnostava, koska se ei ehkä ole lainkaan laitteeseesi määritetty osoite. Jos ylävirran reuna odottaa asiakkaiden saavuttavan käännetyn osoitteen, paikallisen DNAT:n on vastattava tätä sopimusta eikä näkemääsi rajapinnan osoitetta.

IETF:n palomuurikäyttäytymistä koskeva keskustelu on hyödyllinen muistutus siitä, että suodatus ja käännös ovat erillisiä toimintoja. Se selittää, miksi reititin voi valvoa saapuvaa käytäntöä piilottamatta osoitteita, ja miksi NAT jossain ylävirrassa ei todista, että suodatus tapahtuu siellä. Käsittele luovutusta palvelukuvauksena, jolla on omistaja ja muutosprosessi.

Tarkkaile yhtä yritystä molemmilla rajoilla

Yksi kapea, hyväksytty yritys kahdessa pisteessä korreloituna korvaa kasan arvauksia. Aja kaappaus laboratorion WAN-rajapinnalla tarkalle tuplelle ja pyydä ylävirran omistajaa tarkkailemaan sama tuple reunassa. Pidä kohde, protokolla, portti, lähde ja aikaleima identtisinä kahden näkymän välillä.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Lue tulos pari päätöksenä. Reunassa nähty ja laboratorion WANilla nähty tarkoittaa, että sekä toimitus että reunan käytäntö menevät läpi, joten jatka kuuntelijalla tai DNAT:lla. Reunassa nähty mutta ei laboratorion WANilla viittaa toimitukseen tai välissä olevaan käytäntöön, ja seuraava soitto on ylävirran omistajalle. Ei missään nähty tarkoittaa, että testit tuple, lähde tai reitti on väärä jo ennen mitään palomuuri kysymystä.

Todisteiden puuttuminen yhdestä kaappauksesta ei ole todiste palomuurista. Se on rajapinnan tulos, joka kertoo, mitä laitetta seuraavaksi tutkia.

Älä anna paikallisen NAT:n piilottaa vastausta

Vasta kun saapuva liikenne on vahvistettu, paikallisesta säännöstä tulee kiinnostava. Vahvista, että DNAT:n kohde on VPN-kuuntelijan todellinen osoite ja portti, että edelleenohjaus on käytössä kyseiselle perheelle ja että vastaus lähtee rajapinnasta, jota pitkin pyyntö saapui. Sääntö, joka kirjoittaa kohteen uudelleen mutta ei paluureittiä, tuottaa saman aikakatkaisun kuin pudotettu paketti.

Säilytä portin turvallisuus ja tuotannon luovutus tutkiessasi. Reitittimen vaihtaminen tai sen MAC-osoitteen väärentäminen liitäntävalvontojen ohittamiseksi vaihtaa diagnostiikan käyttökatkokseen. Peili portti tai hyväksytty kaappaus antaa saman näkyvyyden irrottamatta palveluita, jotka jakavat linkin.

Lopeta omistajuuskarttaan: kohde, toimittava laite, suodattava laite, laboratorion sisäänkäynti ja kuuntelija. Tämä kartta tekee seuraavasta portin edelleenohjauksen tarkastelusta pienen, eikä se todista VPN:stä itsestään mitään.