Apakah router hulu benar-benar mengantarkan port VPN masuk?

Tiga kondisi menentukan apakah penerusan port pada router lab mempublikasikan sesuatu: apa yang dikirim tepi hulu, kebijakan apa yang diterapkannya, dan apakah balasan kembali melalui jalur yang sama. Alamat yang tampak publik tidak menjawab satu pun. Begitu juga prefiks /30 atau koneksi keluar yang berfungsi. Urutkan kondisi itu sebelum mengubah NAT, atau aturan lokal akan tampak rusak saat blokirnya berada dua lompatan jauhnya.

Tiga jawaban menentukan ke siapa Anda mengeskalasi

Pemilik hulu dapat menggambarkan serah terima dengan salah satu dari tiga cara. Tujuan dikirim langsung ke antarmuka Anda, prefiks terpisah dirutekan ke lompatan berikutnya, atau sesuatu di depan menerjemahkan alamat sebelum mencapai Anda. Setiap jawaban menyebut perangkat berbeda yang harus mengizinkan koneksi masuk, dan tim berbeda yang harus dihubungi ketika tidak demikian.

Pemfilteran adalah variabel keempat dan tidak bergantung pada ketiganya. Jaringan dapat memfilter lalu lintas yang mempertahankan alamat publiknya, dan penerjemah tidak otomatis menjadi batas kebijakan. Tanyakan alamat sumber, transportasi, dan port yang diizinkan bersamaan dengan pengiriman, karena port yang diteruskan dan dijatuhkan tepi tidak pernah mencapai aturan Anda.

Baca serah terima sebagai kontrak layanan

Catat lima nilai sebelum menyentuh router lab: alamat antarmuka yang ditetapkan, panjang prefiks, lompatan berikutnya, alamat tujuan yang akan dipakai klien eksternal, serta protokol dan port yang tepat. Tujuan adalah yang menarik, karena mungkin sama sekali bukan alamat yang dikonfigurasi pada perangkat Anda. Jika hulu mengharapkan klien mencapai alamat yang diterjemahkan, DNAT lokal harus cocok dengan kontrak itu, bukan dengan alamat antarmuka yang Anda lihat.

Diskusi IETF tentang perilaku firewall adalah pengingat berguna bahwa pemfilteran dan penerjemahan adalah fungsi terpisah. Dokumen itu menjelaskan mengapa router dapat menegakkan kebijakan masuk tanpa menyembunyikan alamat, dan mengapa NAT di suatu tempat di hulu tidak membuktikan pemfilteran terjadi di sana. Perlakukan serah terima sebagai deskripsi layanan dengan pemilik dan proses perubahan.

Amati satu upaya di kedua batas

Satu upaya sempit yang disetujui dan dikorelasikan di dua titik menggantikan setumpuk dugaan. Jalankan tangkapan pada antarmuka WAN lab untuk tuple yang tepat, dan minta pemilik hulu mengamati tuple yang sama di tepi. Jaga tujuan, protokol, port, sumber, dan stempel waktu tetap identik antara kedua tampilan.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Baca pasangan hasil sebagai keputusan. Terlihat di tepi dan terlihat di WAN lab berarti pengiriman dan kebijakan tepi keduanya lolos, jadi lanjutkan dengan pendengar atau DNAT. Terlihat di tepi tetapi tidak di WAN lab menunjuk ke pengiriman atau kebijakan perantara, dan panggilan berikutnya adalah pemilik hulu. Tidak terlihat di mana pun berarti tuple uji, sumber, atau jalurnya salah sebelum pertanyaan firewall apa pun.

Tidak adanya bukti dalam satu tangkapan bukan bukti firewall. Itu hasil batas yang memberi tahu perangkat mana yang harus diperiksa berikutnya.

Jangan biarkan DNAT lokal menyembunyikan jawabannya

Aturan lokal baru menjadi menarik setelah ingress dikonfirmasi. Pastikan target DNAT adalah alamat dan port pendengar VPN yang sebenarnya, penerusan diaktifkan untuk keluarga yang relevan, dan balasan keluar melalui antarmuka tempat permintaan tiba. Aturan yang menulis ulang tujuan tetapi tidak jalur kembali menghasilkan waktu tunggu yang sama seperti paket yang dijatuhkan.

Pertahankan keamanan port dan serah terima produksi selama Anda menyelidiki. Mengganti router atau memalsukan alamat MAC-nya untuk melewati kontrol penyambungan menukar diagnostik dengan gangguan. Port cermin atau tangkapan yang disetujui memberi visibilitas yang sama tanpa memutus layanan yang berbagi tautan.

Akhiri dengan peta kepemilikan: tujuan, perangkat pengirim, perangkat pemfilter, ingress lab, dan pendengar. Peta itu membuat tinjauan penerusan port berikutnya menjadi kecil, dan tidak mengautentikasi apa pun tentang VPN itu sendiri.