上流ルーターは本当に受信 VPN ポートを届けるのか

ラボのルーターでのポート転送が何かを公開するかどうかは三つの条件で決まります。上流のエッジが何を届けるか、どのポリシーを適用するか、そして応答が同じ経路で戻るかどうかです。公的に見えるアドレスはそのどれにも答えませんし、/30 プレフィックスや機能する外向き接続も同じです。NAT を変更する前にこれらの条件を整理してください、さもないとブロックが二ホップ先にあるのにローカルルールが壊れて見えます。

三つの答えがエスカレーション先を決める

上流の所有者は受け渡しを三つの方法のいずれかで説明できます。宛先が直接あなたのインターフェースに配送される、別のプレフィックスが次のホップにルーティングされる、または手前の何かがアドレスをあなたに届く前に変換する、という三つです。どの答えも、受信接続を許可すべき別の機器と、そうならないときに連絡すべき別のチームを指します。

フィルタリングは四番目の変数であり、三つすべてから独立しています。ネットワークはパブリックアドレスを保つトラフィックをフィルタリングでき、変換器は自動的にポリシーの境界ではありません。配送と同時に、許可された送信元アドレス、トランスポート、ポートを尋ねてください、エッジが落とす転送ポートはあなたのルールに決して届かないからです。

受け渡しをサービス契約として読む

ラボのルーターに触れる前に、割り当てられたインターフェースアドレス、プレフィックス長、次のホップ、外部クライアントが使う宛先アドレス、そして正確なプロトコルとポートの五つの値を書き留めてください。興味深いのは宛先で、あなたの機器に設定されたアドレスではないかもしれません。上流がクライアントに変換後のアドレスへ届くことを期待するなら、ローカルの DNAT はあなたが見るインターフェースアドレスではなく、その契約に一致しなければなりません。

IETF のファイアウォール挙動に関する議論は、フィルタリングと変換が別の機能であることを思い出させてくれます。ルーターがアドレスを隠さずに受信ポリシーを適用できる理由と、上流のどこかに NAT があるからといってそこでフィルタリングが行われている証拠にはならない理由を説明しています。受け渡しは、所有者と変更プロセスを伴うサービス記述として扱ってください。

両方の境界で一度の試行を観察する

二点で相関させた、狭く承認された一度の試行が、山のような推測を置き換えます。正確なタプルについてラボの WAN インターフェースでキャプチャを実行し、上流の所有者に同じタプルをエッジで観察するよう依頼してください。宛先、プロトコル、ポート、送信元、タイムスタンプを二つの見方の間で同一に保ちます。

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

結果の組を判断として読んでください。エッジで見え、ラボの WAN でも見えれば、配送とエッジのポリシーの両方が通っているので、リスナーか DNAT に進みます。エッジで見えてラボの WAN で見えなければ、配送か中間ポリシーを指し、次の連絡先は上流の所有者です。どこでも見えなければ、ファイアウォールの問いの前に、テストタプル、送信元、経路のいずれかが間違っています。

一度のキャプチャに証拠がないことは、ファイアウォールの証拠ではありません。次にどの機器を調べるべきかを示す境界の結果です。

ローカル NAT に答えを隠させない

ローカルルールが興味深くなるのは、受信が確認された後だけです。DNAT の対象が VPN リスナーの実際のアドレスとポートであること、関連するファミリーで転送が有効であること、応答が要求の到着したインターフェースから出ていくことを確認してください。宛先を書き換えても戻り経路を書き換えないルールは、破棄されたパケットと同じタイムアウトを生みます。

調査中はポートセキュリティと本番の受け渡しを維持してください。接続制御を回避するためにルーターを交換したり MAC アドレスを偽装したりするのは、診断を停止と引き換えにすることです。ミラーポートや承認されたキャプチャは、リンクを共有するサービスを切断せずに同じ可視性を与えます。

最後に、宛先、配送する機器、フィルタリングする機器、ラボの受信口、リスナーという所有権マップで締めくくります。そのマップは次のポート転送レビューを小さくし、VPN 自体については何も認証しません。