Un porto OpenVPN, tres servizos: por que importan os portos internos

Unha sesión SSH, unha aplicación web e unha consulta de nome poden compartir unha única conexión VPN sen pelexar polos portos. O cliente constrúe un único fluxo cifrado cara á pasarela, e cada conversación de aplicación viaxa dentro del. Fóra só se ven o transporte e o porto propios do túnel. Dentro, cada servizo conserva o seu propio porto e segue necesitando o seu propio permiso.

Que transporta o fluxo exterior e que agocha

O cliente envolve cada paquete no transporte do túnel antes de que saia da máquina. Ese fluxo exterior ten un único porto de destino, fixado cando se configurou a VPN. Dentro do envoltorio, cada paquete orixinal conserva o enderezo e o porto do servizo ao que se dirixe. A pasarela retira o envoltorio e encamiña segundo a cabeceira interna, de xeito que o destino ve un cliente común que chega da rede.

Por tanto, unha captura na interface WAN mostra unha conversación, non tres. Os portos internos só aparecen tras a desencapsulación. Por iso unha soa apertura do cortalumes pode transportar SSH, HTTPS e DNS á vez.

# WAN side: one outer tuple, whatever the inner services are
tcpdump -ni wan0 'udp port 443'
# tunnel side: the inner tuples appear after decapsulation
tcpdump -ni tun0

A documentación de TUN/TAP abrangue a entrega na que un dispositivo TUN encamiñado pasa paquetes IP entre o núcleo e un proceso no espazo de usuario. Esa entrega é o que fai visible a cabeceira interna para o código de encamiñamento e cortalumes da pasarela. Tamén explica por que o porto exterior non di nada sobre que servizos están permitidos.

O reenvío NAT pertence ao oínte, non ás aplicacións

Unha pasarela autoaloxada detrás dun NAT IPv4 necesita unha única tradución de entrada: o enderezo e o porto públicos mapeados ao oínte da VPN. Non se require ningunha regra para SSH, HTTPS ou DNS só porque os usuarios do túnel cheguen a eles. Publicar eses portos expoñería servizos que o túnel xa protexe. A regra de reenvío describe a accesibilidade do oínte, non un permiso para nada do interior.

O contrario tamén se cumpre. Abrir o porto do túnel non expón nada máis, así que un servizo accesible só a través do túnel mantén pechada a súa superficie pública. Esa separación adoita ser xustamente a razón de manter o servizo privado.

A política interna é onde realmente se decide o acceso

O cifrado protexe o camiño; non autoriza un destino. As rutas do cliente elixen que prefixos entran no túnel, a política de reenvío da pasarela decide se os paquetes poden saír del, e o cortalumes do destino máis o inicio de sesión deciden se o servizo responde. DNS é o caso máis claro: transportar consultas non fai que un resolvedor as acepte do seu grupo de clientes. Cada capa pode dicir non de forma independente.

Probe cada servizo por separado a través do túnel. Unha consulta correcta non di nada sobre o porto web, e unha petición web correcta non di nada sobre SSH.

dig @10.40.0.53 app.corp.example
nc -vz 10.40.0.10 8443
ssh -p 2222 [email protected]

Cando o túnel está activo e todo falla, lea primeiro a táboa de rutas do cliente. Cando un servizo falla mentres os demais funcionan, o fallo está nese destino. Esas dúas observacións apuntan a responsables distintos, e mesturalas fai perder tempo.

WireGuard traza a mesma liña

WireGuard nomea o seu oínte exterior con ListenPort, e unha aplicación interna segue usando o porto de servizo que necesite. AllowedIPs é un conxunto de prefixos encamiñados, non unha lista de portos de servizo permitidos. Lelo como unha lista de autorización de portos produce regras que non coinciden co que fai o túnel. A nomenclatura é distinta; a separación por capas non.

Permita o servizo na política de entrada local cando se executa no propio punto final, ou na política de reenvío cando está detrás dese punto final. A distinción decide que conxunto de regras ve o paquete.

A forma xeral é un transporte exterior con moitas conversacións internas. Os produtos que necesitan varios intercambios exteriores, ou un protocolo IP distinto, son un recordatorio de que o patrón dun só porto público describe este deseño e non todas as VPN.