Ber reitirinn í straumnum ofan virkilega innkomandi VPN-portum áfram?

Þrjú skilyrði ráða því hvort framsending ports á reitinum í tilraunastofunni birti nokkuð: hvað brúnin ofan straums afhendir, hvaða stefnu hún beitir og hvort svör snúa aftur sömu leið. Heimilisfang sem lítur opinbert út svarar engu þeirra. Það gerir /30 forskeyti eða virk útleið ekki heldur. Raðaðu þessum skilyrðum áður en þú breytir NAT, annars mun staðbundna reglan virka biluð þegar blokkin situr tveimur hoppum í burtu.

Þrjú svör ráða því til hvers þú eskalerar

Eigandi brúna ofan straums getur lýst afhendingunni á einn af þremur vegu. Áfangastaðurinn er afhentur beint á viðmótið þitt, sérstakt forskeyti er beint á næsta hopp þitt, eða eitthvað framan við þýðir heimilisfangið áður en það nær þér. Hvert svar nefnir annað tæki sem verður að leyfa innkomandi tengingu, og annað teymi sem hringja á í þegar það gerist ekki.

Síun er fjórða breytan og hún er óháð öllum þremur. Net getur siað umferð sem heldur opinberu heimilisfangi sínu, og þýðandi er ekki sjálfkrafa stefnumörkin. Spurðu um leyfð uppsprettuheimilisföng, flutning og port samtímis afhendingunni, því framsent port sem brúnin sleppir nær aldrei reglunni þinni.

Lestu afhendinguna sem þjónustusamning

Skrifaðu niður fimm gildi áður en þú snertir reitinn í tilraunastofunni: úthlutað viðmótsheimilisfang, lengd forskeytisins, næsta hopp, áfangastaðinn sem utanaðkomandi biðlarar munu nota, og nákvæma samskiptareglu og port. Áfangastaðurinn er áhugaverður, því hann er kannski alls ekki heimilisfang sem stillt er á tækið þitt. Ef brúnin ofan straums ætlast til að biðlarar nái þýddu heimilisfangi verður staðbundið DNAT að passa við þann samning frekar en viðmótsheimilisfangið sem þú sérð.

Umræða IETF um hegðun eldveggja er gagnleg áminning um að síun og þýðing eru aðskilin hlutverk. Hún útskýrir hvers vegna reitir geta framfylgt innkomandi stefnu án þess að fela heimilisföng, og hvers vegna NAT einhvers staðar ofan straums sannar ekki að síun eigi sér stað þar. Líttu á afhendinguna sem lýsinguna á þjónustu með eiganda og breytingaferli.

Fylgstu með einni tilraun á báðum mörkum

Ein þröng, samþykkt tilraun sem fylgni tengist á tveimur stöðum kemur í stað hrúgu af ágiskunum. Keyrðu fanga á WAN-viðmóti tilraunastofunnar fyrir nákvæma tuple, og biddu eiganda brúna ofan straums að fylgjast með sama tuple við brúnina. Haltu áfangastað, samskiptareglu, porti, uppsprettu og tímaákvörðun óbreyttum milli beggja sýna.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Lestu niðurstöðuparið sem ákvörðun. Séð við brúnina og séð á WAN tilraunastofunnar þýðir að bæði afhending og stefna brúnarinnar standast, svo haltu áfram með hlustandanum eða DNAT. Séð við brúnina en ekki á WAN tilraunastofunnar bendir til afhendingar eða millistefnu, og næsta símtal er við eiganda brúna ofan straums. Hvergi séð þýðir að prófunartuple, uppsprettan eða leiðin eru röng áður en nokkur eldveggsspurning kemur til.

Skortur á sönnun í einu fanga er ekki sönnun fyrir eldvegg. Það er niðurstaða við mörkin sem segir þér hvaða tæki á að skoða næst.

Ekki leyfa staðbundnu NAT að fela svarið

Staðbundna reglan verður aðeins áhugaverð eftir að innstreymi hefur verið staðfest. Staðfestu að DNAT-skotmarkið sé raunverulegt heimilisfang og port VPN-hlustandans, að framsending sé virk fyrir viðkomandi fjölskyldu, og að svarið fari út um viðmótið sem beiðnin kom á. Regla sem endurskrifar áfangastaðinn en ekki afturleiðina framleiðir sama tímamörk og sleppt pakki.

Haltu portöryggi og afhendingu framleiðslunnar á meðan þú rannsakar. Að skipta um reitinn eða falsa MAC-heimilisfang hans til að komast fram hjá tengistýringum skiptir greiningu fyrir truflun. Spegilport eða samþykkt fanga gefur sömu sýn án þess að aftengja þjónustur sem deila tengingunni.

Endaðu á eignakortinu: áfangastaður, afhendingartæki, síutæki, innstreymi tilraunastofunnar og hlustandi. Það kort gerir næstu yfirferð framsendingar porta litla, og það staðfestir ekkert um VPN-ið sjálft.