Il router a monte consegna davvero le porte VPN in ingresso?

Tre condizioni decidono se un inoltro di porta sul router del laboratorio pubblica qualcosa: cosa consegna il bordo a monte, quale politica applica e se le risposte tornano sullo stesso percorso. Un indirizzo che sembra pubblico non risponde a nessuna delle tre. Nemmeno un prefisso /30 o una connessione in uscita funzionante. Ordinate queste condizioni prima di modificare il NAT, altrimenti la regola locale sembrerà rotta quando il blocco si trova due salti più in là.

Tre risposte decidono a chi escalare

Il proprietario del bordo a monte può descrivere la consegna in uno di tre modi. La destinazione viene consegnata direttamente alla vostra interfaccia, un prefisso separato viene instradato al salto successivo, oppure qualcosa davanti traduce l’indirizzo prima che vi raggiunga. Ogni risposta nomina un dispositivo diverso che deve consentire la connessione in ingresso, e un team diverso da chiamare quando non lo fa.

Il filtraggio è la quarta variabile ed è indipendente da tutte e tre. Una rete può filtrare traffico che conserva il proprio indirizzo pubblico, e un traduttore non è automaticamente il confine della politica. Chiedete degli indirizzi sorgente, dei trasporti e delle porte consentite insieme alla consegna, perché una porta inoltrata che il bordo scarta non raggiunge mai la vostra regola.

Leggete la consegna come un contratto di servizio

Annotate cinque valori prima di toccare il router del laboratorio: l’indirizzo di interfaccia assegnato, la lunghezza del prefisso, il salto successivo, l’indirizzo di destinazione che i client esterni useranno e il protocollo e la porta esatti. La destinazione è quella interessante, perché potrebbe non essere affatto un indirizzo configurato sul vostro dispositivo. Se il bordo a monte si aspetta che i client raggiungano un indirizzo tradotto, il DNAT locale deve corrispondere a quel contratto e non all’indirizzo di interfaccia che vedete.

La discussione dell’IETF sul comportamento dei firewall è un utile promemoria del fatto che filtraggio e traduzione sono funzioni separate. Spiega perché un router può applicare una politica in ingresso senza nascondere gli indirizzi, e perché il NAT da qualche parte a monte non prova che il filtraggio avvenga lì. Trattate la consegna come una descrizione di servizio con un proprietario e un processo di modifica.

Osservate un tentativo a entrambi i confini

Un tentativo ristretto e approvato, correlato in due punti, sostituisce un mucchio di congetture. Eseguite una cattura sull’interfaccia WAN del laboratorio per la tupla esatta, e chiedete al proprietario a monte di osservare la stessa tupla al bordo. Mantenete destinazione, protocollo, porta, sorgente e marca temporale identici tra le due viste.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Leggete la coppia di risultati come una decisione. Visto al bordo e visto sul WAN del laboratorio significa che consegna e politica del bordo passano entrambe, quindi proseguite con il listener o il DNAT. Visto al bordo ma non sul WAN del laboratorio indica la consegna o una politica intermedia, e la prossima chiamata è al proprietario a monte. Non visto da nessuna parte significa che la tupla di prova, la sorgente o il percorso sono sbagliati prima di qualsiasi domanda sul firewall.

L’assenza di prove in una cattura non è prova di un firewall. È un risultato di frontiera che vi dice quale dispositivo ispezionare dopo.

Non lasciate che il NAT locale nasconda la risposta

Solo dopo aver confermato l’ingresso la regola locale diventa interessante. Confermate che l’obiettivo del DNAT sia l’indirizzo e la porta reali del listener VPN, che l’inoltro sia abilitato per la famiglia pertinente e che la risposta esca dall’interfaccia da cui è arrivata la richiesta. Una regola che riscrive la destinazione ma non il percorso di ritorno produce lo stesso timeout di un pacchetto scartato.

Mantenete la sicurezza delle porte e la consegna di produzione mentre indagate. Sostituire il router o falsificarne l’indirizzo MAC per aggirare i controlli di collegamento scambia una diagnosi con un’interruzione. Una porta mirror o una cattura approvata offrono la stessa visibilità senza disconnettere i servizi che condividono il collegamento.

Concludete con la mappa di proprietà: destinazione, dispositivo che consegna, dispositivo che filtra, ingresso del laboratorio e listener. Quella mappa rende piccola la prossima revisione dell’inoltro delle porte, e non autentica nulla del VPN stesso.