Inoltrare tutto a un solo host o riscrivere anche la porta?

Inoltrare tutto al vostro server VPN può descrivere due regole molto diverse. Una cambia l'indirizzo di destinazione e conserva la porta in entrata; l'altra riscrive anche la porta su un unico ascoltatore. L'esposizione non è la stessa, e la decisione dipende da tre condizioni, non dall'etichetta usata dall'interfaccia del router.

Prima condizione: quali campi cambia la regola?

La traduzione dell'indirizzo di destinazione e quella della porta di destinazione sono operazioni separate. Una regola può eseguire solo la prima o entrambe insieme, e la differenza decide quali servizi sull'host di destinazione sono raggiungibili. La maggior parte delle interfacce dei produttori nasconde questa scelta dietro un'unica etichetta. Leggere la regola sottostante è l'unico modo per sapere quale avete ottenuto.

Leggete la regola reale, non l'etichetta del menu. Una schermata che dice DMZ o tutte le porte descrive un'intenzione, non un percorso dei pacchetti. La documentazione Netfilter NAT separa le due traduzioni, e questo è il modello mentale giusto anche quando il router davanti a voi è un dispositivo di consumo.

Due campi, due domande diverse.

Seconda condizione: cosa ascolta sulle porte conservate?

Se la regola conserva la porta in entrata, ogni porta che arriva viene consegnata allo stesso numero sull'host VPN, in base alla politica di ingresso di quell'host. Questo include servizi che forse avete dimenticato che erano in ascolto. La regola non ha creato quei servizi, e ora è il percorso verso di essi.

Se la regola riscrive la porta, accade il contrario: molte porte esterne collassano su un unico ascoltatore, e nient'altro sull'host è raggiungibile tramite quella regola. Una riscrittura su porta fissa non diventa accesso a ogni servizio locale solo perché vi corrispondeva un ampio intervallo di porte esterne. I due progetti falliscono in direzioni diverse, e la modalità di guasto è ciò che scegliete. Scegliete quella il cui guasto potete sopportare.

Fate l'inventario dell'ascoltatore prima di scegliere.

Terza condizione: quanto è ampio l'ingresso esterno?

Pubblicare una sola porta scelta è più stretto che pubblicare un intervallo, ed entrambi sono più stretti che accettare tutto. L'ampiezza esterna e la traduzione interna sono scelte indipendenti, e la maggior parte della confusione nasce dal cambiare l'una mentre si descrive l'altra.

Per un ingresso VPN ordinario, pubblicate il trasporto e l'ascoltatore che il progetto richiede davvero. Poi riesaminate altre tre cose: la mappatura effettiva del router, le regole di ingresso dell'host di destinazione e se un ascoltatore IPv6 pubblica lo stesso servizio. Una regola che sembra stretta in una famiglia di indirizzi può essere ampia nell'altra.

Scrivete l'endpoint tradotto per intero: protocollo, porta esterna, indirizzo interno, porta interna.

Ciò che nessuna delle due regole vi dà

Nessuno dei due progetti dimostra che il servizio sia privo di vulnerabilità, e nessuno protegge la disponibilità. Autenticazione, aggiornamenti e ripristino restano nell'ambito indipendentemente da quanto è stretta la mappatura delle porte. Una mappatura stretta riduce la superficie raggiungibile; non rende sicuro l'ascoltatore.

Una regola ampia che già supporta un altro servizio legittimo è una dipendenza, non solo un errore. Inventariatela e sostituitela tramite il suo proprietario prima di rimuoverla, altrimenti il cambiamento sembrerà un'interruzione causata da una correzione di sicurezza. La stessa cautela vale per una riscrittura su porta fissa su cui qualcos'altro conta in silenzio.

L'analisi dell'esposizione riguarda cosa può raggiungere cosa, non l'etichetta sullo schermo.

Decidete con l'endpoint tradotto in mano

Scrivete il risultato della regola come frase: la porta UDP pubblica X raggiunge l'indirizzo Y porta Z. Poi chiedete quali servizi su Y possono rispondere su Z e chi li possiede.

nft list ruleset

Se la risposta è l'unico ascoltatore che volevate, la regola fa il suo lavoro.

Se la risposta è più di uno, avete scelto l'inoltro a tutto l'host, che l'interfaccia lo abbia chiamato così o no.