Framsenda allt á einn hýsil eða endurskrifa líka portið?

Að framsenda allt á VPN-þjóninn þinn getur lýst tveimur mjög ólíkum reglum. Önnur breytir áfangavistfanginu og heldur innkomandi porti; hin endurskrifar portið líka á einn hlustanda. Útsetningin er ekki sú sama, og ákvörðunin fer eftir þremur skilyrðum, ekki merkimiðanum sem viðmót beinisins notar.

Skilyrði eitt: hvaða svæðum breytir reglan?

Þýðing áfangavistfangs og þýðing áfangaports eru aðskildar aðgerðir. Regla getur framkvæmt aðeins þá fyrstu eða báðar saman, og munurinn ræður því hvaða þjónustur á markhýslinum eru aðgengilegar. Flest viðmót framleiðenda fela þennan valkost bak við einn merkimiða. Að lesa undirliggjandi regluna er eina leiðin til að vita hverja þú fékkst.

Lestu raunverulegu regluna, ekki valmyndarmerkimiðann. Skjár sem segir DMZ eða öll port lýsir áformi, ekki slóð pakkans. Netfilter NAT skjölin aðgreina þýðingarnar tvær, og það er rétta hugmyndalíkanið jafnvel þegar beinirinn fyrir framan þig er neytendatæki.

Tvö svæði, tvær ólíkar spurningar.

Skilyrði tvö: hvað hlustar á varðveittu portin?

Ef reglan heldur innkomandi porti er hvert port sem berst afhent sama númeri á VPN-hýslinum, með fyrirvara um inntakstefnu þess hýsils. Það nær til þjónustu sem þú gætir hafa gleymt að væri að hlusta. Reglan bjó ekki til þessar þjónustur, og núna er hún leiðin að þeim.

Ef reglan endurskrifar portið gerist hið gagnstæða: mörg ytri port hrynja saman á einn hlustanda, og ekkert annað á hýslinum er aðgengilegt gegnum þá reglu. Endurskrifun á fast port verður ekki aðgangur að hverri staðbundinni þjónustu bara vegna þess að breitt bil ytri porta passaði við hana. Hönnuðirnir tveir mistakast í ólíkar áttir, og bilunarhamurinn er það sem þú velur. Veldu þann sem þú getur lifað með biluninni hjá.

Gerðu lista yfir hlustandann áður en þú velur.

Skilyrði þrjú: hversu breið er ytri inngöngin?

Að birta eitt valið port er þrengra en að birta bil, og hvort tveggja er þrengra en að samþykkja allt. Ytri breiddin og innri þýðingin eru óháðar ákvarðanir, og mest rugl kemur af því að breyta öðru á meðan lýst er hinu.

Fyrir venjulega VPN-inngöngu skaltu birta flutninginn og hlustandann sem hönnunin þarf í raun. Farðu síðan yfir þrjá hluti í viðbót: virka vörpun beinisins, eigin inntaksreglur markhýsilsins og hvort IPv6-hlustandi birtir sömu þjónustu. Regla sem virðist þröng í einni vistfangafjölskyldu getur verið breið í hinni.

Skrifaðu þýdda endapunktinn í heild: samskiptaregla, ytra port, innra vistfang, innra port.

Það sem hvorug reglan gefur þér

Hvorug hönnunin sannar að þjónustan sé laus við veikleika, og hvorug verndar aðgengi. Auðkenning, uppfærslur og endurheimt eru áfram innan umfangs óháð því hversu þröng portvörpunin er. Þröng vörpun dregur úr aðgengilegu yfirborði; hún gerir hlustandann ekki öruggan.

Breitt regla sem styður þegar aðra lögmæta þjónustu er háð, ekki bara mistök. Gerðu lista yfir hana og skiptu henni út fyrir milligöngu eigandans áður en þú fjarlægir hana, annars mun breytingin líta út eins og bilun af völdum öryggislagfæringar. Sama varúð á við endurskrifun á fast port sem eitthvað annað treystir á í kyrrþey.

Útsetningargreining snýst um hvað getur náð til hvers, ekki um merkimiðann á skjánum.

Ákveddu með þýdda endapunktinn í höndunum

Skrifaðu niðurstöðu reglunnar sem setningu: opinbert UDP-port X nær vistfangi Y port Z. Spurðu síðan hvaða þjónustur á Y geta svarað á Z og hver á þær.

nft list ruleset

Ef svarið er eini hlustandinn sem þú ætlaðir þér, gerir reglan sitt verk.

Ef svarið eru nokkrir hefur þú valið framsendingu á allan hýsilinn, hvort sem viðmótið kallaði það það eða ekki.