Alles nei ien host stjoere of ek de poarte fernije?

Alles nei jo VPN-tsjinner stjoere kin twa hiel ferskillende regels beskriuwe. Ien feroaret it bestimmingsadres en hâldt de ynkommende poarte; de oare skriuwt ek de poarte oer nei ien inkele harker. De bleatstelling is net itselde, en de beslissing hinget fan trije betingsten ôf, net fan it label dat de ynterface fan 'e router brûkt.

Betingst ien: hokker fjilden feroaret de regel?

Fertaalling fan bestimmingsadres en fertaalling fan bestimmingspoarte binne aparte bewurkingen. In regel kin allinnich de earste dwaan, of beide tagelyk, en it ferskil beslút hokker tsjinsten op 'e doelhoast berikber binne. De measte leveransiersynterfaces ferstopje dy kar efter ien label. It lêzen fan 'e ûnderlizzende regel is de iennichste manier om te witten hokker jo krigen hawwe.

Lês de werklike regel, net it menulabel. In skerm dat DMZ of alle poarten seit, beskriuwt in bedoeling, net in pakketpaad. De Netfilter NAT-dokumintaasje skiedt de twa fertaallings, en dat is it juste tinkmodel sels as de router foar jo in konsumintapparaat is.

Twa fjilden, twa ferskillende fragen.

Betingst twa: wat harket op 'e bewarre poarten?

As de regel de ynkommende poarte hâldt, wurdt elke oankommende poarte oan itselde nûmer op 'e VPN-host levere, ûnder foarbehâld fan it ynfierbelied fan dy host. Dat omfettet tsjinsten dy't jo miskien fergetten binne dat se harken. De regel hat dy tsjinsten net makke, en it is no it paad dernei.

As de regel de poarte oerskriuwt, bart it tsjinoerstelde: in protte bûtenpoarten stoarte gear op ien harker, en neat oars op 'e host is fia dy regel berikber. In oerskriuwing nei in fêste poarte wurdt net tagong ta elke lokale tsjinst allinnich om't in breed berik fan bûtenpoarten derop past. De twa ûntwerpen fale yn ferskillende rjochtingen, en de faalmodus is wat jo kieze. Kies dy't jo mei syn falen libje kinne.

Ynventarissearje de harker foardat jo kieze.

Betingst trije: hoe breed is de bûtenynkonmst?

Ien keazen poarte publisearje is smeller as in berik publisearje, en beide binne smeller as alles akseptearje. De bûtendoarbreedte en de binnenfertaalling binne ûnôfhinklike karren, en de measte betizing komt fan it feroarjen fan it iene wylst jo it oare beskriuwe.

Foar in gewoane VPN-ynkonmst, publisearje it transport en de harker dy't it ûntwerp echt nedich hat. Befêstigje dan noch trije dingen: de effektive mapping fan 'e router, de eigen ynfierregels fan 'e doelhoast, en oft in IPv6-harker deselde tsjinst publisearret. In regel dy't der yn ien adresfamylje smel útsjocht, kin yn 'e oare breed wêze.

Skriuw it fertaalde einpunt folslein op: protokol, bûtenpoarte, binnenadres, binnenpoarte.

Wat gjin fan beide regels jo jout

Gjin fan 'e twa ûntwerpen bewiist dat de tsjinst frij is fan kwetsberens, en gjin fan beide beskermet beskikberens. Autentikaasje, updates en werstel bliuwe yn it berik, hoefolle oft it poartmapping ek is. In smel mapping fermindert it berikbere oerflak; it makket de harker net feilich.

In brede regel dy't al in oare legitime tsjinst stipet, is in ôfhinklikens, net samar in flater. Ynventarissearje it en ferfange it fia syn eigner foardat jo it fuorthelje, oars sil de feroaring lykje op in steuring feroarsake troch in feiligensreparaasje. Deselde soarch jildt foar in oerskriuwing nei in fêste poarte dêr't wat oars stil op fertrout.

Bleatstellingsanalyse giet oer wat wat berikke kin, net oer it label op it skerm.

Beslute mei it fertaalde einpunt yn 'e hân

Skriuw it resultaat fan 'e regel as in sin: iepenbiere UDP-poarte X berikt adres Y poarte Z. Freegje dan hokker tsjinsten by Y op Z antwurdzje kinne en wa't se besit.

nft list ruleset

As it antwurd de iene harker is dy't jo bedoelden, docht de regel syn wurk.

As it antwurd ferskate binne, hawwe jo stjoeren oer de hiele host keazen, of de ynterface it no sa neamd hat of net.