Արդյո՞ք վերին երթուղիչն իսկապես հասցնում է մուտքային VPN պորտերը։

Երեք պայման է որոշում՝ արդյոք լաբորատորիայի երթուղիչի վրա պորտի փոխանցումը որևէ բան կհրապարակի՝ ինչ է հասցնում վերին եզրը, ինչ քաղաքականություն է կիրառում և արդյոք պատասխանները վերադառնում են նույն ուղով։ Հանրային թվացող հասցեն ոչ մեկին չի պատասխանում։ Նույնը վերաբերում է /30 նախածանցին կամ աշխատող ելքային կապին։ Դասավորեք այդ պայմանները NAT-ը փոխելուց առաջ, այլապես տեղական կանոնը կթվա կոտրված, երբ արգելափակումը երկու թռիչք այն կողմ է։

Երեք պատասխան որոշում է, թե ում պետք է էսկալացնել

Վերին եզրի տերը կարող է հանձնումը նկարագրել երեք եղանակներից մեկով։ Նպատակակետը հասցվում է ուղղակիորեն ձեր ինտերֆեյսին, առանձին նախածանցը երթուղվում է ձեր հաջորդ թռիչքին, կամ առջևում ինչ-որ բան թարգմանում է հասցեն մինչև ձեզ հասնելը։ Յուրաքանչյուր պատասխան անվանում է տարբեր սարք, որը պետք է թույլատրի մուտքային կապը, և տարբեր թիմ, ում պետք է զանգահարել, երբ դա տեղի չի ունենում։

Զտումը չորրորդ փոփոխականն է և անկախ է բոլոր երեքից։ Ցանցը կարող է զտել երթևեկություն, որը պահպանում է իր հանրային հասցեն, և թարգմանիչը ինքնաբերաբար քաղաքականության սահմանը չէ։ Հարցրեք թույլատրված աղբյուրի հասցեների, տրանսպորտների և պորտերի մասին միաժամանակ հանձնման հետ, որովհետև եզրի կողմից դեն նետված փոխանցված պորտը երբեք չի հասնում ձեր կանոնին։

Հանձնումը կարդացեք որպես ծառայության պայմանագիր

Գրեք հինգ արժեք նախքան լաբորատորիայի երթուղիչին դիպչելը՝ հատկացված ինտերֆեյսի հասցեն, նախածանցի երկարությունը, հաջորդ թռիչքը, նպատակակետի հասցեն, որը կօգտագործեն արտաքին հաճախորդները, և ճշգրիտ արձանագրությունն ու պորտը։ Հետաքրքիրն նպատակակետն է, որովհետև այն կարող է ընդհանրապես ձեր սարքում կարգավորված հասցե չլինել։ Եթե վերին եզրը ակնկալում է, որ հաճախորդները կհասնեն թարգմանված հասցեի, տեղական DNAT-ը պետք է համապատասխանի այդ պայմանագրին, ոչ թե ձեր տեսած ինտերֆեյսի հասցեին։

IETF-ի՝ հրապատի վարքագծի քննարկումը օգտակար հիշեցում է, որ զտումն ու թարգմանությունը առանձին գործառույթներ են։ Այն բացատրում է, թե ինչու երթուղիչը կարող է կիրառել մուտքային քաղաքականություն՝ առանց հասցեներ թաքցնելու, և ինչու վերևում ինչ-որ տեղ NAT-ի առկայությունը չի ապացուցում, որ զտումը հենց այնտեղ է տեղի ունենում։ Հանձնումը դիտարկեք որպես ծառայության նկարագրություն՝ տիրոջ և փոփոխության ընթացակարգի հետ։

Դիտարկեք մեկ փորձ երկու սահմաններում

Երկու կետում փոխկապակցված մեկ նեղ, հաստատված փորձը փոխարինում է կռահումների կույտին։ Գործարկեք որսում լաբորատորիայի WAN ինտերֆեյսում՝ ճշգրիտ tuple-ի համար, և խնդրեք վերին եզրի տիրոջը դիտարկել նույն tuple-ը եզրում։ Պահեք նպատակակետը, արձանագրությունը, պորտը, աղբյուրը և ժամային դրոշմը նույնը երկու տեսքերի միջև։

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Կարդացեք արդյունքների զույգը որպես որոշում։ Եզրում տեսնված և լաբորատորիայի WAN-ում տեսնված նշանակում է, որ և՛ հանձնումը, և՛ եզրի քաղաքականությունն անցնում են, ուստի շարունակեք լսողով կամ DNAT-ով։ Եզրում տեսնված, բայց լաբորատորիայի WAN-ում ոչ տեսնվածը մատնանշում է հանձնում կամ միջանկյալ քաղաքականություն, և հաջորդ զանգը վերին եզրի տիրոջն է։ Ոչ մի տեղ չտեսնվածը նշանակում է, որ թեստային tuple-ը, աղբյուրը կամ ուղին սխալ են դեռևս ցանկացած հրապատի հարցից առաջ։

Մեկ որսումում ապացույցի բացակայությունը հրապատի ապացույց չէ։ Սա սահմանի արդյունք է, որը ասում է, թե որ սարքը պետք է ստուգել հաջորդը։

Թույլ մի տվեք տեղական NAT-ին թաքցնել պատասխանը

Տեղական կանոնը հետաքրքիր է դառնում միայն մուտքի հաստատումից հետո։ Հաստատեք, որ DNAT-ի թիրախը VPN լսողի իրական հասցեն ու պորտն են, որ փոխանցումը միացված է համապատասխան ընտանիքի համար, և որ պատասխանը դուրս է գալիս այն ինտերֆեյսով, որով հասել է հարցումը։ Կանոնը, որը վերագրում է նպատակակետը, բայց ոչ վերադարձի ուղին, ստեղծում է նույն ժամկետանցը, ինչ դեն նետված փաթեթը։

Քննության ընթացքում պահպանեք պորտի անվտանգությունը և արտադրական հանձնումը։ Երթուղիչի փոխարինումը կամ դրա MAC հասցեի կեղծումը՝ միացման վերահսկիչները շրջանցելու համար, ախտորոշումը փոխանակում է ընդհատման հետ։ Հայելային պորտը կամ հաստատված որսումը տալիս է նույն տեսանելիությունը՝ առանց կապը կիսող ծառայություններն անջատելու։

Ավարտեք սեփականության քարտեզով՝ նպատակակետ, հասցնող սարք, զտող սարք, լաբորատորիայի մուտք և լսող։ Այդ քարտեզը փոքրացնում է պորտի փոխանցման հաջորդ վերանայումը, և այն ոչինչ չի վավերացնում հենց VPN-ի մասին։