Meneruskan semua ke satu host, atau menulis ulang port juga?

Meneruskan semua ke server VPN Anda dapat menggambarkan dua aturan yang sangat berbeda. Yang satu mengubah alamat tujuan dan mempertahankan port masuk; yang lain juga menulis ulang port ke satu pendengar tunggal. Paparannya tidak sama, dan keputusannya bergantung pada tiga syarat, bukan pada label yang dipakai antarmuka router.

Syarat pertama: bidang mana yang diubah aturan?

Terjemahan alamat tujuan dan terjemahan port tujuan adalah operasi terpisah. Sebuah aturan dapat melakukan yang pertama saja, atau keduanya sekaligus, dan perbedaannya menentukan layanan mana di host target yang dapat dijangkau. Sebagian besar antarmuka vendor menyembunyikan pilihan itu di balik satu label. Membaca aturan yang mendasarinya adalah satu-satunya cara untuk mengetahui mana yang Anda dapatkan.

Bacalah aturan sebenarnya, bukan label menu. Layar yang bertuliskan DMZ atau semua port menggambarkan niat, bukan jalur paket. Dokumentasi Netfilter NAT memisahkan kedua terjemahan, dan itu adalah model mental yang tepat bahkan ketika router di depan Anda adalah perangkat konsumen.

Dua bidang, dua pertanyaan berbeda.

Syarat kedua: apa yang mendengarkan di port yang dipertahankan?

Jika aturan mempertahankan port masuk, setiap port yang datang dikirimkan ke nomor yang sama di host VPN, tunduk pada kebijakan masuk host tersebut. Itu mencakup layanan yang mungkin Anda lupa sedang mendengarkan. Aturan itu tidak menciptakan layanan tersebut, dan sekarang ia menjadi jalur ke sana.

Jika aturan menulis ulang port, yang terjadi adalah sebaliknya: banyak port luar runtuh ke satu pendengar, dan tidak ada yang lain di host yang dapat dijangkau melalui aturan itu. Penulisan ulang ke port tetap tidak menjadi akses ke setiap layanan lokal hanya karena rentang port luar yang lebar cocok dengannya. Kedua desain gagal ke arah yang berbeda, dan mode kegagalan itulah yang Anda pilih. Pilih yang kegagalannya dapat Anda tanggung.

Inventarisasi pendengar sebelum Anda memilih.

Syarat ketiga: seberapa lebar pintu masuk luar?

Menerbitkan satu port terpilih lebih sempit daripada menerbitkan rentang, dan keduanya lebih sempit daripada menerima semuanya. Lebar luar dan terjemahan dalam adalah pilihan yang independen, dan sebagian besar kebingungan muncul dari mengubah yang satu sambil menjelaskan yang lain.

Untuk pintu masuk VPN biasa, terbitkan transport dan pendengar yang benar-benar dibutuhkan desain. Lalu tinjau tiga hal lagi: pemetaan efektif router, aturan masuk host target sendiri, dan apakah pendengar IPv6 menerbitkan layanan yang sama. Aturan yang tampak sempit pada satu keluarga alamat bisa lebar pada keluarga lainnya.

Tuliskan titik akhir yang diterjemahkan secara lengkap: protokol, port luar, alamat dalam, port dalam.

Apa yang tidak diberikan kedua aturan itu kepada Anda

Tidak ada dari kedua desain itu yang membuktikan layanan bebas kerentanan, dan tidak ada yang melindungi ketersediaan. Autentikasi, pembaruan, dan pemulihan tetap dalam cakupan terlepas dari seberapa sempit pemetaan port. Pemetaan sempit mengurangi permukaan yang dapat dijangkau; itu tidak membuat pendengar aman.

Aturan lebar yang sudah mendukung layanan sah lain adalah ketergantungan, bukan sekadar kesalahan. Inventarisasi dan ganti melalui pemiliknya sebelum menghapusnya, atau perubahan akan tampak seperti gangguan yang disebabkan perbaikan keamanan. Kehati-hatian yang sama berlaku untuk penulisan ulang port tetap yang diam-diam diandalkan sesuatu yang lain.

Analisis paparan adalah tentang apa yang dapat mencapai apa, bukan tentang label di layar.

Putuskan dengan titik akhir yang diterjemahkan di tangan

Tuliskan hasil aturan sebagai kalimat: port UDP publik X mencapai alamat Y port Z. Lalu tanyakan layanan mana di Y yang dapat menjawab di Z dan siapa pemiliknya.

nft list ruleset

Jika jawabannya adalah satu pendengar yang Anda maksud, aturan itu menjalankan tugasnya.

Jika jawabannya beberapa, Anda memilih penerusan ke seluruh host, apakah antarmuka menyebutnya begitu atau tidak.