האם הנתב במעלה הזרם באמת מעביר פורטי VPN נכנסים?

שלושה תנאים מכריעים אם העברת פורט בנתב המעבדה מפרסמת משהו: מה מספק קצה מעלה הזרם, איזו מדיניות הוא מיישם, והאם התשובות חוזרות באותו נתיב. כתובת שנראית ציבורית לא עונה על אף אחד מהם. גם לא קידומת /30 או חיבור יוצא שעובד. מיינו את התנאים האלה לפני שינוי NAT, אחרת הכלל המקומי ייראה שבור כשהחסימה נמצאת שני קפיצות משם.

שלוש תשובות קובעות למי להסלים

בעל מעלה הזרם יכול לתאר את המסירה באחת משלוש דרכים. היעד נמסר ישירות לממשק שלך, קידומת נפרדת מנותבת לקפיצה הבאה שלך, או שמשהו מלפנים מתרגם את הכתובת לפני שהיא מגיעה אליך. כל תשובה מציינת התקן אחר שחייב לאשר את החיבור הנכנס, וצוות אחר שיש להתקשר אליו כשאינו מאשר.

הסינון הוא המשתנה הרביעי והוא בלתי תלוי בכל השלושה. רשת יכולה לסנן תעבורה ששומרת על הכתובת הציבורית שלה, ומתרגם אינו בהכרח גבול המדיניות. שאלו על כתובות מקור מותרות, תעבורה ופורטים יחד עם המסירה, כי פורט מועבר שהקצה מפיל לעולם לא מגיע לכלל שלכם.

קראו את המסירה כחוזה שירות

רשמו חמישה ערכים לפני שנוגעים בנתב המעבדה: כתובת הממשק שהוקצתה, אורך הקידומת, הקפיצה הבאה, כתובת היעד שלקוחות חיצוניים ישתמשו בה, והפרוטוקול והפורט המדויקים. היעד הוא המעניין, כי ייתכן שהוא בכלל לא כתובת שמוגדרת במכשיר שלכם. אם מעלה הזרם מצפה שלקוחות יגיעו לכתובת מתורגמת, על DNAT המקומי להתאים לחוזה הזה ולא לכתובת הממשק שאתם רואים.

הדיון של IETF בהתנהגות חומות אש הוא תזכורת שימושית לכך שסינון ותרגום הם תפקידים נפרדים. הוא מסביר מדוע נתב יכול לאכוף מדיניות כניסה בלי להסתיר כתובות, ומדוע NAT במקום כלשהו במעלה הזרם אינו מוכיח שהסינון מתרחש שם. התייחסו למסירה כתיאור שירות עם בעלים ותהליך שינוי.

צפו בניסיון אחד בשני הגבולות

ניסיון צר ומאושר אחד, מתואם בשתי נקודות, מחליף ערימת ניחושים. הריצו לכידה בממשק ה-WAN של המעבדה עבור ה-tuple המדויק, ובקשו מבעל מעלה הזרם לצפות באותו tuple בקצה. שמרו על זהות היעד, הפרוטוקול, הפורט, המקור וחתימת הזמן בין שתי התצוגות.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

קראו את צמד התוצאות כהחלטה. נראה בקצה ונראה ב-WAN של המעבדה פירושו שגם המסירה וגם מדיניות הקצה עוברות, אז המשיכו עם המאזין או DNAT. נראה בקצה אך לא ב-WAN של המעבדה מצביע על מסירה או על מדיניות ביניים, והשיחה הבאה היא לבעל מעלה הזרם. לא נראה בשום מקום פירושו שה-tuple של הבדיקה, המקור או הנתיב שגויים עוד לפני כל שאלת חומת אש.

היעדר ראיות בלכידה אחת אינו הוכחה לקיומה של חומת אש. זו תוצאת גבול שאומרת לכם איזה התקן לבדוק לאחר מכן.

אל תתנו ל-NAT המקומי להסתיר את התשובה

רק לאחר אישור הכניסה הופך הכלל המקומי למעניין. אשרו שהיעד של DNAT הוא הכתובת והפורט האמיתיים של מאזין ה-VPN, שהעברה מופעלת עבור המשפחה הרלוונטית, ושהתשובה יוצאת דרך הממשק שאליו הגיעה הבקשה. כלל שמשכתב את היעד אך לא את נתיב החזרה מייצר את אותו פסק זמן כמו מנות שנפלו.

שמרו על אבטחת הפורט ועל מסירת הייצור בזמן החקירה. החלפת הנתב או זיוף כתובת ה-MAC שלו כדי לעקוף בקרות הצמדה מחליפה אבחון בהשבתה. פורט מראה או לכידה מאושרת נותנים את אותה נראות בלי לנתק שירותים שחולקים את הקישור.

סיימו במפת הבעלות: יעד, התקן מספק, התקן מסנן, כניסת המעבדה ומאזין. המפה הזו הופכת את סקירת העברת הפורטים הבאה לקטנה, והיא אינה מאמתת דבר לגבי ה-VPN עצמו.