Mindent egyetlen gazdagépre továbbítsunk, vagy írjuk át a portot is?

Ha mindent a VPN-kiszolgálójára továbbít, az két nagyon különböző szabályt írhat le. Az egyik megváltoztatja a célcímet és megtartja a bejövő portot; a másik a portot is átírja egyetlen figyelőre. A kitettség nem ugyanaz, és a döntés három feltételtől függ, nem attól a címkétől, amelyet az útválasztó felülete használ.

Első feltétel: mely mezőket változtatja meg a szabály?

A célcím fordítás és a célport fordítás külön műveletek. Egy szabály csak az elsőt hajthatja végre, vagy mindkettőt egyszerre, és a különbség dönti el, mely szolgáltatások érhetők el a célgazdagépen. A legtöbb gyártói felület egyetlen címke mögé rejti ezt a választást. Az alapul szolgáló szabály elolvasása az egyetlen módja annak, hogy megtudja, melyiket kapta.

A tényleges szabályt olvassa, ne a menücímkét. Az a képernyő, amelyen DMZ vagy minden port szerepel, szándékot ír le, nem csomagútvonalat. A Netfilter NAT dokumentációja szétválasztja a két fordítást, és ez a helyes gondolati modell akkor is, ha az Ön előtti útválasztó fogyasztói eszköz.

Két mező, két különböző kérdés.

Második feltétel: mi figyel a megtartott portokon?

Ha a szabály megtartja a bejövő portot, minden érkező port ugyanarra a számra kerül továbbításra a VPN-gazdagépen, a gazdagép bemeneti szabályzatától függően. Ez magában foglalja azokat a szolgáltatásokat is, amelyekről talán elfelejtette, hogy figyelnek. A szabály nem hozta létre ezeket a szolgáltatásokat, és most ez az út hozzájuk.

Ha a szabály átírja a portot, az ellenkezője történik: sok külső port zsugorodik egyetlen figyelőre, és a gazdagépen semmi más nem érhető el ezen a szabállyal. A fix portra történő átírás nem válik minden helyi szolgáltatás elérésévé csak azért, mert külső portok széles tartománya illeszkedett rá. A két terv különböző irányokban hibázik, és a hiba módja az, amit választ. Azt válassza, amelynek a hibájával együtt tud élni.

Készítsen leltárt a figyelőről, mielőtt választ.

Harmadik feltétel: milyen széles a külső belépés?

Egyetlen kiválasztott port közzététele szűkebb, mint egy tartomány közzététele, és mindkettő szűkebb, mint mindent elfogadni. A külső szélesség és a belső fordítás független választások, és a legtöbb zavar abból ered, hogy az egyiket változtatja, miközben a másikat írja le.

Egy hétköznapi VPN-belépéshez tegye közzé azt a szállítást és figyelőt, amelyre a tervezésnek valóban szüksége van. Ezután vizsgáljon meg még három dolgot: az útválasztó tényleges leképezését, a célgazdagép saját bemeneti szabályait, és azt, hogy egy IPv6-figyelő ugyanazt a szolgáltatást teszi-e közzé. Egy szabály, amely az egyik címcsaládban szűknek tűnik, a másikban széles lehet.

Írja le a lefordított végpontot teljesen: protokoll, külső port, belső cím, belső port.

Amit egyik szabály sem ad meg Önnek

Egyik terv sem bizonyítja, hogy a szolgáltatás mentes a sebezhetőségektől, és egyik sem védi a rendelkezésre állást. A hitelesítés, a frissítések és a helyreállítás hatókörben maradnak, függetlenül attól, milyen szűk a portleképezés. A szűk leképezés csökkenti az elérhető felületet; nem teszi biztonságossá a figyelőt.

Egy széles szabály, amely már támogat egy másik jogszerű szolgáltatást, függőség, nem csupán hiba. Készítsen róla leltárt, és a tulajdonosán keresztül cserélje le, mielőtt eltávolítja, különben a változás egy biztonsági javítás okozta kiesésnek fog tűnni. Ugyanez az óvatosság érvényes arra a fix portra történő átírásra, amelyre valami más csendben támaszkodik.

A kitettségelemzés arról szól, mi érhet el mit, nem a képernyőn látható címkéről.

Döntsön a lefordított végponttal a kezében

Írja le a szabály eredményét mondatként: a nyilvános UDP X port eléri az Y cím Z portját. Ezután kérdezze meg, mely szolgáltatások tudnak Y-on Z-re válaszolni, és kié azok.

nft list ruleset

Ha a válasz az az egyetlen figyelő, amelyet szándékolt, a szabály végzi a dolgát.

Ha a válasz több, akkor az egész gazdagépre kiterjedő továbbítást választott, akár így nevezte a felület, akár nem.