Preusmjeriti sve na jedan host ili prepisati i port?

Preusmjeravanje svega na vaš VPN poslužitelj može opisivati dva vrlo različita pravila. Jedno mijenja odredišnu adresu i zadržava dolazni port; drugo još prepisuje port na jedan jedini slušač. Izloženost nije ista, a odluka ovisi o trima uvjetima, a ne o oznaci koju koristi sučelje usmjerivača.

Uvjet prvi: koja polja pravilo mijenja?

Prevođenje odredišne adrese i prevođenje odredišnog porta odvojene su operacije. Pravilo može izvesti samo prvo ili oboje zajedno, a razlika odlučuje koje su usluge na ciljnom hostu dostupne. Većina sučelja proizvođača skriva taj izbor iza jedne oznake. Čitanje temeljnog pravila jedini je način da saznate koje ste dobili.

Čitajte stvarno pravilo, a ne oznaku u izborniku. Zaslon na kojem piše DMZ ili svi portovi opisuje namjeru, a ne put paketa. Netfilter NAT dokumentacija razdvaja dva prevođenja i to je ispravan mentalni model čak i kada je usmjerivač pred vama potrošački uređaj.

Dva polja, dva različita pitanja.

Uvjet drugi: što sluša na zadržanim portovima?

Ako pravilo zadrži dolazni port, svaki dolazni port dostavlja se na isti broj na VPN hostu, u skladu s ulaznom politikom tog hosta. To uključuje usluge za koje ste možda zaboravili da slušaju. Pravilo nije stvorilo te usluge i sada je ono put do njih.

Ako pravilo prepisuje port, događa se suprotno: mnogi vanjski portovi slijevaju se na jedan slušač i ništa drugo na hostu nije dostupno kroz to pravilo. Prepisivanje na fiksni port ne postaje pristup svakoj lokalnoj usluzi samo zato što mu je odgovarao širok raspon vanjskih portova. Dva dizajna padaju u različitim smjerovima, a način pada je ono što birate. Odaberite onaj čiji pad možete podnijeti.

Popišite slušač prije nego što odaberete.

Uvjet treći: koliko je širok vanjski ulaz?

Objavljivanje jednog odabranog porta uže je od objavljivanja raspona, a oboje je uže od prihvaćanja svega. Vanjska širina i unutarnje prevođenje neovisni su izbori, a većina zbrke nastaje kad mijenjate jedno dok opisujete drugo.

Za običan VPN ulaz objavite prijevoz i slušač koji dizajn doista treba. Zatim pregledajte još tri stvari: stvarno preslikavanje usmjerivača, vlastita ulazna pravila ciljnog hosta i objavljuje li IPv6 slušač istu uslugu. Pravilo koje izgleda usko u jednoj obitelji adresa može biti široko u drugoj.

Zapišite prevedenu krajnju točku u cijelosti: protokol, vanjski port, unutarnja adresa, unutarnji port.

Što vam ne daje nijedno pravilo

Nijedan dizajn ne dokazuje da je usluga bez ranjivosti i nijedan ne štiti dostupnost. Autentikacija, ažuriranja i oporavak ostaju u opsegu bez obzira na to koliko je preslikavanje portova usko. Usko preslikavanje smanjuje dostupnu površinu; ne čini slušač sigurnim.

Široko pravilo koje već podržava drugu legitimnu uslugu ovisnost je, a ne samo pogreška. Popišite ga i zamijenite ga preko njegova vlasnika prije uklanjanja, inače će promjena izgledati kao prekid koji je izazvala sigurnosna ispravka. Isti oprez vrijedi za prepisivanje na fiksni port na koje se nešto drugo tiho oslanja.

Analiza izloženosti govori o tome što može doći do čega, a ne o oznaci na zaslonu.

Odlučite s prevedenom krajnjom točkom u ruci

Zapišite rezultat pravila kao rečenicu: javni UDP port X doseže adresu Y, port Z. Zatim pitajte koje usluge na Y mogu odgovoriti na Z i kome pripadaju.

nft list ruleset

Ako je odgovor onaj jedan slušač koji ste namjeravali, pravilo radi svoj posao.

Ako je odgovor nekoliko, odabrali ste preusmjeravanje na cijeli host, bez obzira na to je li sučelje to tako nazvalo.