Af hverju heima-NAT verndar ekki VPN-viðmótið þitt
Heimabeinir sendir göngin áfram, en hýsillinn metur afkóðaða pakkann. Lestu hlustarann, innri leiðina og inntaksskilyrðið hvert fyrir sig.
Fartölvur bak við heimabeini án portframsetninga taka enn við SSH-tengingum sem berast um VPN. Það er ekki mótsögn, því tvö ólík tæki meta tvo ólíka pakka. Beinirinn sendir dulkóðaða flutninginn áfram, og hýsillinn ákveður hvað gera skal við afkóðaða pakkann sem kemur að gönguviðmóti hans. Að halda þessum tveimur ákvörðunum aðskildum er öll æfingin.
Beinirinn sendir göngin áfram, hýsillinn metur pakkann
Teiknaðu leiðina frá fjarlægu upprunanum að þjónustunni áður en þú skoðar eina einustu reglu. Ytri hlutinn er VPN-flutningurinn, sem beinirinn og gáttin sjá um. Innri hlutinn byrjar þegar endapunkturinn strýkur af göngulaginu og hýsillinn tekur við pakka sem er stilaður á VPN-vistfang hans.
Sameinaðu þessa tvo hluta og beinirinn fær heiðurinn af ákvörðun sem hýsillinn tekur. Portframsetningarsíða eða beinirannáll lýsir aðeins ytri samræðum, og hvorugt segir hvaða afkóðaða umferð hýsillinn muni þiggja. Hýsillinn beitir eigin inntaksskilyrði á innri pakkann, á sama hátt og á hvern þann pakka sem kemur að viðmóti. Í því skilyrði er spurningunni um útsetningu í raun svarað.
Villikorts-hlustarinn er ekki opinber þjónusta
Á Linux þýðir binding við INADDR_ANY hvert staðbundið vistfang, svo þjónusta getur svarað á gönguviðmóti sem hún nefndi aldrei. IP-sokkurinn lýsir þeirri bindingu, og það er þess virði að lesa hana áður en dregnar eru ályktanir af hlustaralista. Villikorts-færsla er staðreynd um sokkurinn, ekki fullyrðing um aðgengi.
Línurnar tvær hér að neðan eru sama þjónustan í tveimur ólíkum bindingum, og munurinn er eitt svar við því hvort viðmótið skiptir máli. Lestu á hvaða vistfang sokkurinn situr áður en nokkuð annað er gert.
ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))Nefndu fyrirkomulagið sem gæti náð að portinu
Þrjú fyrirkomulag setja pakka á það viðmót, og þau eiga ólíka eigendur. Að nefna það rétta ákveður hver þarf að breyta skilyrði.
| Arrangement | What reaches the port | Where the decision lives |
|---|---|---|
| Another permitted VPN peer | A packet from the same tunnel subnet | Gateway forwarding policy and host input rules |
| A deliberate public forward | Traffic the gateway publishes on purpose | Gateway service definition |
| A subnet routed behind the gateway | Client traffic from the far side | Gateway route and host input rules |
Niðurstaða vafra sem sýnir opinbert útgangsvistfang segir ekkert um neitt þeirra þriggja, því hún lýsir því hvernig útleiðarferð fer út en ekki hvað er heimilt fyrir innleiðarferð. Vinnaðu afturábak frá hlustaranum og upprunavistfanginu í annálnum. Ef uppruninn er annar göngufélagi er gáttarskilyrðið áhugaverða skjalið. Ef um þýtt vistfang er að ræða, finndu þýðinguna áður en þú breytir reglu.
Takmarkaðu þjónustuna við leiðina sem þú ætlaðir
Ef SSH er aðeins þörf frá stjórnunarleið, skrifaðu þá leið sem upprunasvið auk viðmóts. Takmarkaðu síðan inntaksreglur hýsilsins eftir viðmóti, áfangastað og uppruna í stað netheitis, því nafn sem lítur út fyrir að vera einkaaðgengilegt getur staðið fyrir hvaða vistfang sem er. Haltu leið inni fyrir þann sem leysir næsta vandamál.
nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter inputRegla sem nefnir gönguviðmótið og stjórnunarsviðið segir ætlunina á einum stað. Berðu hana saman við reglu sem skrifuð er fyrir Wi-Fi-net, sem segir ekkert um afkóðaða gönguumferð. Þegar lögin tvö eru ósammála er skilyrði hýsilsins það sem pakkinn mætir.
Leyfðu innskráningum og plástri að vera nákvæmlega þar sem þau eru; að ná porti var aldrei það sama og að hafa leyfi til að nota það. Skráðu vistfangafjölskyldu og tíma fyrir hvert ókunnugt upprunavistfang, og rannsakaðu áður en þú kennir eiginleika eða veikleika um sökina. Regla sem hleypir hverjum göngufélaga er önnur hönnun en sú sem hleypir stjórnunarnetinu, og engin annálslína segir hvor var ætluð.
Þiggðu lagfæringuna með einum árangri og einni synjun
Sannaðu báða helminga: ein samþykkt tenging heppnast og ein undanskilin leið er synjað. Synjunin er sá helmingur sem fólk sleppir, og hún sýnir að reglan vinnur í stað þess að standa við hlið leyfandi sjálfgefins gildis. Prófaðu frá undanskildri hlið í stað þess að hugsa um það.
Endurtaktu parið eftir endurtengingu, því göng sem koma aftur með öðru viðmótsheiti geta hljóðlega farið fram hjá reglu sem takmörkuð er við það gamla. Mörkin sem skipta máli eru þau sem hýsillinn beitir á pakka sem hann tekur í raun við.