Ամեն ինչ ուղարկե՞լ մեկ հոստին, թե՞ նաև պորտը վերագրել

Ամեն ինչ ձեր VPN սերվերին ուղարկելը կարող է նկարագրել երկու շատ տարբեր կանոններ։ Մեկը փոխում է նպատակակետ հասցեն և պահպանում մուտքային պորտը՝ մյուսը նաև վերագրում է պորտը մեկ լսողի վրա։ Բացահայտվածությունը նույնը չէ, և որոշումը կախված է երեք պայմաններից, այլ ոչ այն պիտակից, որն օգտագործում է երթուղիչի ինտերֆեյսը։

Առաջին պայման՝ կանոնը ո՞ր դաշտերն է փոխում

Նպատակակետ հասցեի թարգմանությունը և նպատակակետ պորտի թարգմանությունը առանձին գործողություններ են։ Կանոնը կարող է կատարել միայն առաջինը կամ երկուսը միասին, և տարբերությունը որոշում է, թե թիրախ հոսթի որ ծառայություններն են հասանելի։ Արտադրողների ինտերֆեյսների մեծ մասը թաքցնում է այդ ընտրությունը մեկ պիտակի հետևում։ Հիմքում ընկած կանոնը կարդալը միակ միջոցն է իմանալու, թե որն եք ստացել։

Կարդացեք իրական կանոնը, ոչ թե ընտրացանկի պիտակը։ Էկրանը, որում գրված է DMZ կամ բոլոր պորտերը, նկարագրում է մտադրություն, ոչ թե փաթեթի ուղի։ Netfilter NAT փաստաթղթերը բաժանում են երկու թարգմանությունները, և դա ճիշտ մտավոր մոդելն է նույնիսկ այն դեպքում, երբ ձեր առջևի երթուղիչը սպառողական սարք է։

Երկու դաշտ՝ երկու տարբեր հարց։

Երկրորդ պայման՝ ի՞նչ է լսում պահպանված պորտերում

Եթե կանոնը պահպանում է մուտքային պորտը, ապա յուրաքանչյուր ժամանող պորտ առաքվում է նույն թվին VPN հոսթում՝ համաձայն այդ հոսթի մուտքային քաղաքականության։ Դա ներառում է ծառայություններ, որոնց մասին գուցե մոռացել եք, որ լսում են։ Կանոնը չի ստեղծել այդ ծառայությունները, և այժմ այն նրանց տանող ուղին է։

Եթե կանոնը վերագրում է պորտը, տեղի է ունենում հակառակը՝ շատ արտաքին պորտեր սեղմվում են մեկ լսողի, և հոսթի վրա ուրիշ ոչինչ հասանելի չէ այդ կանոնով։ Ֆիքսված պորտի վերագրումը չի դառնում հասանելիություն բոլոր տեղական ծառայություններին միայն այն պատճառով, որ արտաքին պորտերի լայն տիրույթը համապատասխանել է դրան։ Երկու ձևավորումները ձախողվում են տարբեր ուղղություններով, և ձախողման եղանակն է այն, ինչ դուք ընտրում եք։ Ընտրեք այն, որի ձախողման հետ կարող եք ապրել։

Նախքան ընտրելը գույքագրեք լսողին։

Երրորդ պայման՝ որքա՞ն լայն է արտաքին մուտքը

Մեկ ընտրված պորտ հրապարակելը ավելի նեղ է, քան տիրույթ հրապարակելը, և երկուսն էլ ավելի նեղ են, քան ամեն ինչ ընդունելը։ Արտաքին լայնությունը և ներքին թարգմանությունը անկախ ընտրություններ են, և խառնաշփոթի մեծ մասը գալիս է մեկը փոխելուց, մինչ մյուսը նկարագրում եք։

Սովորական VPN մուտքի համար հրապարակեք այն տրանսպորտը և լսողը, որոնք ձևավորմանն իսկապես պետք են։ Այնուհետև ստուգեք ևս երեք բան՝ երթուղիչի արդյունավետ քարտեզագրումը, թիրախ հոսթի սեփական մուտքային կանոնները, և արդյոք IPv6 լսողը հրապարակում է նույն ծառայությունը։ Մի հասցեային ընտանիքում նեղ թվացող կանոնը կարող է լայն լինել մյուսում։

Գրեք թարգմանված վերջնակետը ամբողջությամբ՝ արձանագրություն, արտաքին պորտ, ներքին հասցե, ներքին պորտ։

Ինչ ոչ մի կանոն ձեզ չի տալիս

Ձևավորումներից ոչ մեկը չի ապացուցում, որ ծառայությունը զերծ է խոցելիություններից, և ոչ մեկը չի պաշտպանում հասանելիությունը։ Նույնականացումը, թարմացումները և վերականգնումը մնում են շրջանակում՝ անկախ նրանից, թե որքան նեղ է պորտերի քարտեզագրումը։ Նեղ քարտեզագրումը նվազեցնում է հասանելի մակերեսը՝ այն լսողին անվտանգ չի դարձնում։

Լայն կանոնը, որն արդեն աջակցում է մեկ այլ օրինական ծառայության, կախվածություն է, ոչ թե պարզապես սխալ։ Գույքագրեք այն և փոխարինեք այն սեփականատիրոջ միջոցով՝ նախքան հեռացնելը, այլապես փոփոխությունը կհայտնվի որպես անվտանգության ուղղումից առաջացած ընդհատում։ Նույն զգուշությունը վերաբերում է ֆիքսված պորտի վերագրմանը, որի վրա ինչ-որ այլ բան հանգիստ հենվում է։

Բացահայտվածության վերլուծությունը այն մասին է, թե ինչը ինչին կարող է հասնել, ոչ թե էկրանի պիտակի մասին։

Որոշեք՝ թարգմանված վերջնակետը ձեռքին

Գրեք կանոնի արդյունքը որպես նախադասություն՝ հանրային UDP պորտ X-ը հասնում է Y հասցեի Z պորտին։ Այնուհետև հարցրեք, թե Y-ում որ ծառայությունները կարող են պատասխանել Z-ին և ով է դրանց տերը։

nft list ruleset

Եթե պատասխանը ձեր մտադրած այն մեկ լսողն է, կանոնն անում է իր գործը։

Եթե պատասխանը մի քանիսն են, դուք ընտրել եք ուղարկում ամբողջ հոսթին՝ անկախ նրանից, ինտերֆեյսը դա այդպես է անվանել թե ոչ։