Valóban továbbítja az upstream router a bejövő VPN-portokat?

Három feltétel dönti el, hogy egy porttovábbítás a laboratóriumi routeren egyáltalán közzétesz-e valamit: mit szállít az upstream perem, milyen házirendet alkalmaz, és hogy a válaszok ugyanazon az útvonalon térnek-e vissza. A nyilvánosnak látszó cím egyikre sem ad választ. A /30-as előtag vagy egy működő kimenő kapcsolat sem. Rendezze ezeket a feltételeket a NAT módosítása előtt, különben a helyi szabály hibásnak tűnik, miközben a blokkolás két ugrással arrébb van.

Három válasz dönti el, kihez eszkaláljon

Az upstream tulajdonosa háromféleképpen írhatja le az átadást. A célállomást közvetlenül az interfészére szállítják, egy külön előtagot a következő ugrására irányítanak, vagy valami elöl lefordítja a címet, mielőtt elérné Önt. Mindegyik válasz más eszközt nevez meg, amelynek engedélyeznie kell a bejövő kapcsolatot, és más csapatot, akit hívni kell, ha ez nem történik meg.

A szűrés a negyedik változó, és független mindháromtól. Egy hálózat szűrheti a nyilvános címét megtartó forgalmat, és a fordító nem automatikusan a házirend határa. Kérdezzen rá az engedélyezett forráscímekre, átviteli módokra és portokra a szállítással egy időben, mert a perem által eldobott továbbított port soha nem ér el a szabályáig.

Olvassa az átadást szolgáltatási szerződésként

Jegyezzen fel öt értéket, mielőtt hozzányúl a laboratóriumi routerhez: a kiosztott interfészcímet, az előtag hosszát, a következő ugrást, a célcímét, amelyet a külső kliensek használni fognak, valamint a pontos protokollt és portot. A cél az érdekes, mert lehet, hogy egyáltalán nem az eszközén beállított cím. Ha az upstream azt várja, hogy a kliensek egy lefordított címre érkezzenek, a helyi DNAT-nak ehhez a szerződéshez kell illeszkednie, nem az általa látott interfészcímhez.

Az IETF tűzfal-viselkedésről szóló vitája hasznos emlékeztető arra, hogy a szűrés és a fordítás külön funkciók. Elmagyarázza, miért kényszeríthet ki egy router bejövő házirendet címek rejtése nélkül, és miért nem bizonyítja az upstream valahol meglévő NAT, hogy a szűrés ott történik. Kezelje az átadást szolgáltatásleírásként, tulajdonossal és változási folyamattal.

Figyeljen meg egy kísérletet mindkét határon

Egy szűk, jóváhagyott kísérlet, amelyet két ponton korrelálnak, fölöslegessé tesz egy csomó találgatást. Futtasson rögzítést a laboratórium WAN-interfészén a pontos tuple-re, és kérje meg az upstream tulajdonosát, hogy ugyanezt a tuple-t figyelje meg a peremen. Tartsa azonosan a célt, a protokollt, a portot, a forrást és az időbélyeget a két nézet között.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Olvassa a két eredményt döntésként. Peremen látott és a laboratóriumi WAN-on látott azt jelenti, hogy a szállítás és a perem házirendje is átmegy, tehát folytassa a listenerrel vagy a DNAT-tal. Peremen látott, de a laboratóriumi WAN-on nem látott szállításra vagy köztes házirendre utal, és a következő hívás az upstream tulajdonosé. Sehol nem látott azt jelenti, hogy a teszt-tuple, a forrás vagy az útvonal hibás még a tűzfal-kérdés előtt.

A bizonyíték hiánya egy rögzítésben nem a tűzfal bizonyítéka. Ez egy hatáseredmény, amely megmondja, melyik eszközt vizsgálja meg következőként.

Ne hagyja, hogy a helyi NAT elrejtse a választ

Csak a bejövő forgalom megerősítése után válik érdekessé a helyi szabály. Erősítse meg, hogy a DNAT célja a VPN-listener tényleges címe és portja, hogy a továbbítás engedélyezett a megfelelő családhoz, és hogy a válasz azon az interfészen távozik, amelyen a kérés érkezett. Az a szabály, amely átírja a célt, de a visszautat nem, ugyanazt az időtúllépést eredményezi, mint egy eldobott csomag.

Vizsgálat közben tartsa meg a portbiztonságot és az éles átadást. A router cseréje vagy MAC-címének hamisítása a csatlakozási ellenőrzések megkerüléséhez diagnózist vált ki kiesésre. Egy tükörport vagy jóváhagyott rögzítés ugyanazt a láthatóságot adja anélkül, hogy lecsatlakoztatná a linket megosztó szolgáltatásokat.

Fejezze be a tulajdonosi térképpel: cél, szállító eszköz, szűrő eszköz, laboratóriumi belépés és listener. Ez a térkép kicsivé teszi a következő porttovábbítási felülvizsgálatot, és semmit sem hitelesít magáról a VPN-ről.