Le routeur en amont livre-t-il vraiment les ports VPN entrants ?

Trois conditions décident si une redirection de port sur le routeur du laboratoire publie quoi que ce soit : ce que livre le bord amont, quelle politique il applique et si les réponses reviennent par le même chemin. Une adresse qui semble publique ne répond à aucune d’elles. Un préfixe /30 ou une connexion sortante fonctionnelle non plus. Triez ces conditions avant de modifier le NAT, sinon la règle locale semblera cassée alors que le blocage se trouve deux sauts plus loin.

Trois réponses décident vers qui escalader

Le propriétaire de l’amont peut décrire la remise de l’une de trois manières. La destination est livrée directement à votre interface, un préfixe distinct est routé vers votre saut suivant, ou quelque chose en amont traduit l’adresse avant qu’elle ne vous parvienne. Chaque réponse nomme un appareil différent qui doit autoriser la connexion entrante, et une équipe différente à appeler quand ce n’est pas le cas.

Le filtrage est la quatrième variable et il est indépendant des trois. Un réseau peut filtrer du trafic qui conserve son adresse publique, et un traducteur n’est pas automatiquement la frontière de politique. Interrogez sur les adresses sources, transports et ports autorisés en même temps que sur la remise, car un port redirigé que le bord rejette n’atteint jamais votre règle.

Lisez la remise comme un contrat de service

Notez cinq valeurs avant de toucher au routeur du laboratoire : l’adresse d’interface attribuée, la longueur du préfixe, le saut suivant, l’adresse de destination que les clients externes utiliseront, et le protocole et le port exacts. La destination est la plus intéressante, car ce n’est peut-être pas du tout une adresse configurée sur votre appareil. Si l’amont attend des clients qu’ils atteignent une adresse traduite, le DNAT local doit correspondre à ce contrat plutôt qu’à l’adresse d’interface que vous voyez.

La discussion de l’IETF sur le comportement des pare-feu rappelle utilement que le filtrage et la traduction sont des fonctions distinctes. Elle explique pourquoi un routeur peut appliquer une politique d’entrée sans masquer les adresses, et pourquoi un NAT quelque part en amont ne prouve pas que le filtrage y a lieu. Traitez la remise comme une description de service avec un propriétaire et un processus de changement.

Observez une tentative aux deux frontières

Une tentative étroite et approuvée, corrélée en deux points, remplace un tas de suppositions. Lancez une capture sur l’interface WAN du laboratoire pour le tuple exact, et demandez au propriétaire de l’amont d’observer le même tuple au bord. Gardez destination, protocole, port, source et horodatage identiques entre les deux vues.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Lisez la paire de résultats comme une décision. Vu au bord et vu sur le WAN du laboratoire signifie que la remise et la politique de bord passent toutes deux, donc poursuivez avec l’écouteur ou le DNAT. Vu au bord mais pas sur le WAN du laboratoire pointe vers la remise ou une politique intermédiaire, et le prochain appel est au propriétaire de l’amont. Vu nulle part signifie que le tuple de test, la source ou le chemin sont faux avant même toute question de pare-feu.

L’absence de preuve dans une capture n’est pas une preuve de pare-feu. C’est un résultat de frontière qui indique quel appareil inspecter ensuite.

Empêchez le NAT local de cacher la réponse

Ce n’est qu’après confirmation de l’entrée que la règle locale devient intéressante. Confirmez que la cible du DNAT est l’adresse et le port réels de l’écouteur VPN, que le transfert est activé pour la famille concernée et que la réponse sort par l’interface par laquelle la requête est arrivée. Une règle qui réécrit la destination mais pas le chemin de retour produit le même délai d’attente qu’un paquet rejeté.

Conservez la sécurité des ports et la remise de production pendant votre enquête. Remplacer le routeur ou falsifier son adresse MAC pour contourner les contrôles de rattachement échange un diagnostic contre une panne. Un port miroir ou une capture approuvée offre la même visibilité sans déconnecter les services qui partagent le lien.

Terminez par la carte de propriété : destination, appareil qui livre, appareil qui filtre, entrée du laboratoire et écouteur. Cette carte rend la prochaine revue des redirections de ports petite, et elle n’authentifie rien sur le VPN lui-même.