O router de augas arriba entrega realmente os portos VPN de entrada?

Tres condicións deciden se un reenvío de porto no router do laboratorio publica algo: que entrega a beira de augas arriba, que política aplica e se as respostas volven polo mesmo camiño. Un enderezo que parece público non responde a ningunha. Tampouco o fai un prefixo /30 nin unha conexión de saída que funcione. Ordene esas condicións antes de cambiar o NAT, ou a regra local parecerá rota cando o bloqueo está a dous saltos de distancia.

Tres respostas deciden a quen escalar

O propietario de augas arriba pode describir a entrega dunha de tres maneiras. O destino entrégase directamente á súa interface, un prefixo separado encamíñase ao seu seguinte salto, ou algo diante traduce o enderezo antes de que chegue a vostede. Cada resposta nomea un dispositivo distinto que debe permitir a conexión de entrada, e un equipo distinto ao que chamar cando non o fai.

O filtrado é a cuarta variable e é independente das tres. Unha rede pode filtrar tráfico que conserva o seu enderezo público, e un tradutor non é automaticamente a fronteira de política. Pregunte polos enderezos de orixe, transportes e portos permitidos ao mesmo tempo que pola entrega, porque un porto reenviado que a beira descarta nunca chega á súa regra.

Lea a entrega como un contrato de servizo

Anote cinco valores antes de tocar o router do laboratorio: o enderezo de interface asignado, a lonxitude do prefixo, o seguinte salto, o enderezo de destino que usarán os clientes externos e o protocolo e porto exactos. O destino é o interesante, porque pode que non sexa ningún enderezo configurado no seu dispositivo. Se a beira de augas arriba espera que os clientes cheguen a un enderezo traducido, o DNAT local debe coincidir con ese contrato e non co enderezo de interface que ve.

A discusión do IETF sobre o comportamento dos cortalumes é un recordatorio útil de que o filtrado e a tradución son funcións separadas. Explica por que un router pode aplicar política de entrada sen ocultar enderezos, e por que o NAT nalgún punto de augas arriba non demostra que o filtrado ocorra alí. Trate a entrega como unha descrición de servizo cun propietario e un proceso de cambio.

Observe un intento en ambas as beiras

Un intento estreito e aprobado, correlacionado en dous puntos, substitúe un montón de conxecturas. Execute unha captura na interface WAN do laboratorio para a tupla exacta, e pida ao propietario de augas arriba que observe a mesma tupla na beira. Manteña destino, protocolo, porto, orixe e marca de tempo idénticos entre as dúas vistas.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Lea o par de resultados como unha decisión. Visto na beira e visto na WAN do laboratorio significa que tanto a entrega como a política da beira pasan, así que continúe co oínte ou o DNAT. Visto na beira pero non na WAN do laboratorio apunta á entrega ou a unha política intermedia, e a seguinte chamada é ao propietario de augas arriba. Non visto en ningún sitio significa que a tupla de proba, a orixe ou o camiño son erróneos antes de calquera pregunta sobre o cortalumes.

A ausencia de probas nunha captura non é proba dun cortalumes. É un resultado de fronteira que lle di que dispositivo inspeccionar despois.

Evite que o NAT local oculte a resposta

Só despois de confirmar a entrada se volve interesante a regra local. Confirme que o obxectivo do DNAT é o enderezo e o porto reais do oínte VPN, que o reenvío está habilitado para a familia correspondente e que a resposta sae pola interface pola que chegou a solicitude. Unha regra que reescribe o destino pero non o camiño de volta produce o mesmo tempo de espera que un paquete descartado.

Manteña a seguridade do porto e a entrega de produción mentres investiga. Substituír o router ou falsificar o seu enderezo MAC para saltar os controis de conexión cambia un diagnóstico por unha interrupción. Un porto espello ou unha captura aprobada dan a mesma visibilidade sen desconectar servizos que comparten a ligazón.

Remate co mapa de propiedade: destino, dispositivo que entrega, dispositivo que filtra, entrada do laboratorio e oínte. Ese mapa fai pequena a seguinte revisión do reenvío de portos, e non autentica nada sobre o VPN en si.