Isporučuje li upstream usmjerivač zaista dolazne VPN portove?

Tri uvjeta odlučuju hoće li prosljeđivanje porta na laboratorijskom usmjerivaču objaviti bilo što: što dostavlja upstream rub, koju politiku primjenjuje i vraćaju li se odgovori istim putem. Adresa koja izgleda javno ne odgovara ni na jedno od toga. Niti prefiks /30 niti radna odlazna veza. Poredajte te uvjete prije promjene NAT-a, inače će lokalno pravilo izgledati pokvareno dok blok stoji dva skoka dalje.

Tri odgovora odlučuju kome ćete eskalirati

Vlasnik upstreama može opisati predaju na jedan od tri načina. Odredište se dostavlja izravno na vaše sučelje, zaseban prefiks se usmjerava na vaš sljedeći skok ili nešto ispred prevodi adresu prije nego što stigne do vas. Svaki odgovor imenuje drugi uređaj koji mora dopustiti dolaznu vezu i drugi tim kojemu treba zvati kada se to ne dogodi.

Filtriranje je četvrta varijabla i neovisno je o sve tri. Mreža može filtrirati promet koji zadržava svoju javnu adresu, a prevoditelj nije automatski granica politike. Pitajte o dopuštenim izvornim adresama, transportima i portovima istodobno s dostavom, jer proslijeđeni port koji rub odbaci nikada ne stiže do vašeg pravila.

Čitajte predaju kao ugovor o usluzi

Zapišite pet vrijednosti prije nego dotaknete laboratorijski usmjerivač: dodijeljena adresa sučelja, duljina prefiksa, sljedeći skok, odredišna adresa koju će koristiti vanjski klijenti te točan protokol i port. Zanimljivo je odredište, jer možda uopće nije adresa konfigurirana na vašem uređaju. Ako upstream očekuje da klijenti dođu do prevedene adrese, lokalni DNAT mora odgovarati tom ugovoru, a ne adresi sučelja koju vidite.

IETF-ova rasprava o ponašanju vatrozida koristan je podsjetnik da su filtriranje i prevođenje odvojene funkcije. Objašnjava zašto usmjerivač može provoditi dolaznu politiku bez skrivanja adresa i zašto NAT negdje uzvodno ne dokazuje da se filtriranje tamo odvija. Tretirajte predaju kao opis usluge s vlasnikom i procesom promjene.

Promatrajte jedan pokušaj na oba ruba

Jedan uski, odobreni pokušaj koreliran na dvije točke zamjenjuje gomilu nagađanja. Pokrenite snimanje na laboratorijskom WAN sučelju za točan tuple i zamolite vlasnika upstreama da promatra isti tuple na rubu. Održite odredište, protokol, port, izvor i vremensku oznaku identičnima između dva prikaza.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Čitajte par rezultata kao odluku. Viđeno na rubu i viđeno na laboratorijskom WAN-u znači da dostava i rubna politika oboje prolaze, pa nastavite s listenerom ili DNAT-om. Viđeno na rubu ali ne na laboratorijskom WAN-u upućuje na dostavu ili srednju politiku, a sljedeći poziv je vlasniku upstreama. Nije viđeno nigdje znači da su testni tuple, izvor ili put pogrešni prije bilo kakvog pitanja o vatrozidu.

Odsutnost dokaza u jednom snimanju nije dokaz vatrozida. To je granični rezultat koji vam kaže koji uređaj sljedeće pregledati.

Ne dopustite da lokalni NAT sakrije odgovor

Lokalno pravilo postaje zanimljivo tek nakon što se dolazni promet potvrdi. Potvrdite da je DNAT cilj stvarna adresa i port VPN listenera, da je prosljeđivanje omogućeno za odgovarajuću familiju i da odgovor izlazi kroz sučelje kroz koje je zahtjev stigao. Pravilo koje prepisuje odredište ali ne povratni put proizvodi isti timeout kao odbačeni paket.

Zadržite sigurnost porta i produkcijsku predaju dok istražujete. Zamjena usmjerivača ili lažiranje njegove MAC adrese radi zaobilaženja kontrola priključenja mijenja dijagnostiku za prekid rada. Zrcalni port ili odobreno snimanje daje istu vidljivost bez isključivanja servisa koji dijele vezu.

Završite kartom vlasništva: odredište, uređaj koji dostavlja, uređaj koji filtrira, laboratorijski ulaz i listener. Ta karta čini sljedeći pregled prosljeđivanja portova malim i ne autentificira ništa o samom VPN-u.