להעביר הכול למארח אחד, או גם לשכתב את הפורט?

העברת הכול לשרת ה-VPN שלכם יכולה לתאר שני כללים שונים מאוד. האחד משנה את כתובת היעד ושומר על הפורט הנכנס; האחר גם משכתב את הפורט למאזין יחיד. החשיפה אינה זהה, וההחלטה תלויה בשלושה תנאים ולא בתווית שהממשק של הנתב משתמש בה.

תנאי ראשון: אילו שדות הכלל משנה?

תרגום כתובת היעד ותרגום פורט היעד הם פעולות נפרדות. כלל יכול לבצע רק את הראשונה או את שתיהן יחד, וההבדל קובע אילו שירותים במארח היעד נגישים. רוב ממשקי היצרנים מסתירים את הבחירה הזו מאחורי תווית אחת. קריאת הכלל הבסיסי היא הדרך היחידה לדעת איזה מהם קיבלתם.

קראו את הכלל בפועל ולא את תווית התפריט. מסך שאומר DMZ או כל הפורטים מתאר כוונה, לא נתיב של חבילה. התיעוד של Netfilter NAT מפריד בין שני התרגומים, וזה המודל המנטלי הנכון גם כשהנתב שלפניכם הוא מכשיר צרכני.

שני שדות, שתי שאלות שונות.

תנאי שני: מה מאזין בפורטים שנשמרו?

אם הכלל שומר על הפורט הנכנס, כל פורט שמגיע נמסר לאותו מספר במארח ה-VPN, בכפוף למדיניות הקלט של אותו מארח. זה כולל שירותים שאולי שכחתם שהם מאזינים. הכלל לא יצר את השירותים האלה, והוא עכשיו הדרך אליהם.

אם הכלל משכתב את הפורט, קורה ההיפך: פורטים חיצוניים רבים מתמוטטים למאזין אחד, ושום דבר אחר במארח אינו נגיש דרך אותו כלל. שכתוב לפורט קבוע אינו הופך לגישה לכל שירות מקומי רק משום שטווח רחב של פורטים חיצוניים התאים לו. שני העיצובים נכשלים בכיוונים שונים, ואופן הכשל הוא מה שאתם בוחרים. בחרו את זה שאופן הכשל שלו נסבל עבורכם.

תעדו את המאזין לפני שתבחרו.

תנאי שלישי: כמה רחב הפתח החיצוני?

פרסום פורט נבחר אחד צר יותר מפרסום טווח, ושניהם צרים יותר מקבלת הכול. הרוחב החיצוני והתרגום הפנימי הם בחירות בלתי תלויות, ורוב הבלבול נובע משינוי אחד בזמן שמתארים את האחר.

לכניסת VPN רגילה, פרסמו את התעבורה ואת המאזין שהעיצוב באמת צריך. לאחר מכן עברו על שלושה דברים נוספים: המיפוי האפקטיבי של הנתב, כללי הקלט של מארח היעד עצמו, והאם מאזין IPv6 מפרסם את אותו שירות. כלל שנראה צר במשפחת כתובות אחת יכול להיות רחב באחרת.

כתבו את נקודת הקצה המתורגמת במלואה: פרוטוקול, פורט חיצוני, כתובת פנימית, פורט פנימי.

מה שאף אחד מהכללים לא נותן לכם

אף אחד משני העיצובים לא מוכיח שהשירות נקי מפגיעויות, ואף אחד לא מגן על הזמינות. אימות, עדכונים ושחזור נשארים בהיקף בלי קשר לכמה צר מיפוי הפורטים. מיפוי צר מצמצם את פני השטח הנגישים; הוא לא הופך את המאזין לבטוח.

כלל רחב שכבר תומך בשירות לגיטימי אחר הוא תלות, לא רק טעות. תעדו אותו והחליפו אותו דרך הבעלים שלו לפני הסרה, אחרת השינוי ייראה כמו הפסקה שנגרמה מתיקון אבטחה. אותה זהירות חלה על שכתוב לפורט קבוע שמשהו אחר תלוי בו בשקט.

ניתוח חשיפה עוסק במה יכול להגיע למה, לא בתווית שעל המסך.

החליטו כשנקודת הקצה המתורגמת ביד

כתבו את תוצאת הכלל כמשפט: פורט UDP ציבורי X מגיע לכתובת Y פורט Z. לאחר מכן שאלו אילו שירותים ב-Y יכולים לענות על Z ומי הבעלים שלהם.

nft list ruleset

אם התשובה היא המאזין האחד שהתכוונתם אליו, הכלל עושה את עבודתו.

אם התשובה היא כמה, בחרתם העברה לכל המארח, בין אם הממשק כינה זאת כך ובין אם לא.