Leveret de upstream-router echt ynkommende VPN-poarten?
In adres dat as in iepenbiere laboratoariumadres liket, seit neat oer ynkommend ferkear. Trije antwurden, ien korrelearre opname en de krekte bestimming litte sjen wa't de VPN-poarte tastean moat.
Trije betingsten beslisse oft in poartetrochferwizing op de laboratoariumrouter eat publisearret: wat de upstreamrâne leveret, hokker belied er tapast en oft antwurden oer deselde wei weromkomme. In adres dat iepenbier liket, beantwurdet gjin ien dêrfan. Ek net in /30-prefiks of in wurkjende útgeande ferbining. Sortearje dy betingsten foardat jo NAT feroarje, oars liket de lokale regel stikken wylst de blokkade twa sprangen fierder sit.
Trije antwurden beslisse nei wa't jo eskalearje
De upstream-eigner kin de oerdracht op ien fan trije manearen beskriuwe. De bestimming wurdt direkt nei jo ynterface levere, in apart prefiks wurdt nei jo folgjende sprong rûte, of eat foaroan set it adres oer foardat it jo berikt. Elk antwurd neamt in oar apparaat dat de ynkommende ferbining tastean moat, en in oar team dat belle wurdt as dat net bart.
Filtering is de fjirde fariabele en dy is ûnôfhinklik fan alle trije. In netwurk kin ferkear filterje dat syn iepenbiere adres hâldt, en in oersetter is net automatysk de beliedsgrins. Freegje tagelyk mei de levering nei tastiene boarneadressen, transporten en poarten, want in trochferwiisde poarte dy't de râne weilitten, berikt nea jo regel.
Lês de oerdracht as in tsjinstkontrakt
Skriuw fiif wearden op foardat jo de laboratoariumrouter oanreitsje: it tawiisde ynterfaceadres, de lingte fan it prefiks, de folgjende sprong, it bestimmingsadres dat eksterne kliïnten brûke sille, en it krekte protokol en de poarte. De bestimming is de nijsgjirrige, want it is miskien hielendal gjin adres dat op jo apparaat konfigurearre is. As de upstream ferwachtet dat kliïnten in oerset adres berikke, moat lokale DNAT by dat kontrakt passe yn stee fan by it ynterfaceadres dat jo sjogge.
De IETF-diskusje oer firewallgedrach is in nuttige herinnering dat filtering en oersetting aparte funksjes binne. It ferklearret wêrom't in router ynkommend belied hanthavenje kin sûnder adressen te ferbergjen, en wêrom't NAT earne upstream net bewist dat filtering dêr bart. Behandelje de oerdracht as in tsjinstbeskriuwing mei in eigner en in feroaringsproses.
Observearje ien poging by beide grinzen
Ien smelle, goedkarde poging korrelearre op twa punten ferfangt in bul rieden. Rin in opname op 'e WAN-ynterface fan it laboratoarium foar de krekte tuple, en freegje de upstream-eigner deselde tuple oan 'e râne te observearjen. Hâld bestimming, protokol, poarte, boarne en tiidstimpel identyk tusken de twa bylden.
tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'Lês it pear resultaten as in beslút. Sjoen oan 'e râne en sjoen op 'e laboratoarium-WAN betsjut dat levering en rânebelied beide trochkomme, dus gean fierder mei de listener of DNAT. Sjoen oan 'e râne mar net op 'e laboratoarium-WAN wiist op levering of in tuskenbelied, en de upstream-eigner is de folgjende oprop. Nearne sjoen betsjut dat de testtuple, de boarne of it paad ferkeard binne foardat der in firewallfraach oan 'e oarder is.
It ûntbrekken fan bewiis yn ien opname is gjin bewiis fan in firewall. It is in grinsresultaat dat jo seit hokker apparaat jo folgjende ynspektearje moatte.
Lit pleatslik NAT it antwurd net ferbergje
Pas nei't ynkommend ferkear befêstige is, wurdt de lokale regel nijsgjirrich. Befêstigje dat it DNAT-doel it wirklike adres en de poarte fan 'e VPN-listener is, dat trochferwizing foar de oanbelangjende famylje oan stiet en dat it antwurd fia de ynterface fuortgiet dêr't it fersyk op oankaam. In regel dy't de bestimming oerskriuwt mar net it werompaad, leveret deselde tiidferstryking as in fuortsmitten pakket.
Hâld poartefeiligens en de produksje-oerdracht by wylst jo ûndersykje. It ferfangen fan 'e router of it ferfalskjen fan syn MAC-adres om oanslûtkontrôles te omzeilen ruilet in diagnoaze foar in steuring. In spegelpoarte of in goedkarde opname jout deselde sichtberens sûnder tsjinsten los te koppeljen dy't de keppeling diele.
Einigje mei de eignerskipkaart: bestimming, leverjend apparaat, filterjend apparaat, laboratoarium-ynkomst en listener. Dy kaart makket de folgjende poartetrochferwizingsresinsje lyts, en se autentisearret neat oer de VPN sels.