ყველაფერი ერთ ჰოსტზე გადავამისამართოთ თუ პორტიც გადავწეროთ?

ყველაფრის თქვენს VPN სერვერზე გადამისამართება შეიძლება აღწერდეს ორ ძალიან განსხვავებულ წესს. ერთი ცვლის დანიშნულების მისამართს და ინარჩუნებს შემოსულ პორტს; მეორე ასევე გადაწერს პორტს ერთ მსმენელზე. ექსპოზიცია ერთნაირი არ არის და გადაწყვეტილება დამოკიდებულია სამ პირობაზე და არა იმ ეტიკეტზე, რომელსაც როუტერის ინტერფეისი იყენებს.

პირველი პირობა: რომელ ველებს ცვლის წესი?

დანიშნულების მისამართის თარგმნა და დანიშნულების პორტის თარგმნა ცალკე ოპერაციებია. წესს შეუძლია შეასრულოს მხოლოდ პირველი ან ორივე ერთად, და განსხვავება განსაზღვრავს, თუ რომელი სერვისებია ხელმისაწვდომი სამიზნე ჰოსტზე. მწარმოებლების ინტერფეისების უმეტესობა ამ არჩევანს ერთი ეტიკეტის მიღმა მალავს. საფუძვლიანი წესის წაკითხვა ერთადერთი გზაა იმის გასაგებად, რომელი მიიღეთ.

წაიკითხეთ ფაქტობრივი წესი და არა მენიუს ეტიკეტი. ეკრანი, რომელზეც წერია DMZ ან ყველა პორტი, აღწერს განზრახვას და არა პაკეტის გზას. Netfilter NAT დოკუმენტაცია ყოფს ორ თარგმანს და ეს არის სწორი აზროვნების მოდელი მაშინაც, როცა თქვენს წინაშე მყოფი როუტერი სამომხმარებლო მოწყობილობაა.

ორი ველი, ორი განსხვავებული კითხვა.

მეორე პირობა: რა უსმენს შენახულ პორტებზე?

თუ წესი ინარჩუნებს შემოსულ პორტს, ყოველი მომავალი პორტი მიეწოდება იმავე ნომერს VPN ჰოსტზე, ამ ჰოსტის შემავალი პოლიტიკის შესაბამისად. ეს მოიცავს სერვისებს, რომლებიც შეიძლება დაგავიწყდათ, რომ უსმენენ. წესმა ეს სერვისები არ შექმნა და ახლა ის მათკენ მიმავალი გზაა.

თუ წესი გადაწერს პორტს, ხდება საპირისპირო: ბევრი გარე პორტი იკუმშება ერთ მსმენელზე და ჰოსტზე სხვა არაფერია ხელმისაწვდომი ამ წესით. ფიქსირებულ პორტზე გადაწერა არ ხდება ყველა ლოკალურ სერვისზე წვდომა მხოლოდ იმიტომ, რომ გარე პორტების ფართო დიაპაზონი შეესაბამებოდა მას. ორი დიზაინი განსხვავებული მიმართულებებით მარცხდება და სწორედ წარუმატებლობის რეჟიმს ირჩევთ. აირჩიეთ ის, რომლის წარუმატებლობასთანაც შეგიძლიათ იცხოვროთ.

სანამ აირჩევთ, დაამზადეთ მსმენელის ინვენტარი.

მესამე პირობა: რამდენად ფართოა გარე შესასვლელი?

ერთი შერჩეული პორტის გამოქვეყნება უფრო ვიწროა, ვიდრე დიაპაზონის გამოქვეყნება, და ორივე უფრო ვიწროა, ვიდრე ყველაფრის მიღება. გარე სიგანე და შიდა თარგმნა დამოუკიდებელი არჩევანია და დაბნეულობის უმეტესობა ერთის შეცვლიდან მოდის, როცა მეორეს აღწერთ.

ჩვეულებრივი VPN შესასვლელისთვის გამოაქვეყნეთ ტრანსპორტი და მსმენელი, რომლებიც დიზაინს ნამდვილად სჭირდება. შემდეგ გადახედეთ კიდევ სამ რამეს: როუტერის ეფექტური რუკება, სამიზნე ჰოსტის საკუთარი შემავალი წესები და თუ IPv6 მსმენელი იმავე სერვისს აქვეყნებს. წესი, რომელიც ერთ მისამართების ოჯახში ვიწროდ გამოიყურება, შეიძლება მეორეში ფართო იყოს.

დაწერეთ თარგმნილი საბოლოო წერტილი სრულად: პროტოკოლი, გარე პორტი, შიდა მისამართი, შიდა პორტი.

რასაც არც ერთი წესი არ გაძლევთ

არც ერთი დიზაინი არ ამტკიცებს, რომ სერვისი თავისუფალია სისუსტეებისგან და არც ერთი არ იცავს ხელმისაწვდომობას. ავთენტიფიკაცია, განახლებები და აღდგენა რჩება ფარგლებში, მიუხედავად იმისა, რამდენად ვიწროა პორტების რუკება. ვიწრო რუკება ამცირებს ხელმისაწვდომ ზედაპირს; ის მსმენელს უსაფრთხოს არ ხდის.

ფართო წესი, რომელიც უკვე მხარს უჭერს სხვა ლეგიტიმურ სერვისს, დამოკიდებულებაა და არა უბრალოდ შეცდომა. დაამზადეთ მისი ინვენტარი და შეცვალეთ ის მისი მფლობელის მეშვეობით, სანამ წაშლით, თორემ ცვლილება უსაფრთხოების შესწორებით გამოწვეულ შეფერხებად გამოჩნდება. იგივე სიფრთხილე ეხება ფიქსირებულ პორტზე გადაწერას, რომელსაც სხვა რამ ჩუმად ეყრდნობა.

ექსპოზიციის ანალიზი არის იმაზე, თუ რა შეიძლება რას მიაღწიოს და არა ეკრანზე არსებულ ეტიკეტზე.

გადაწყვიტეთ თარგმნილი საბოლოო წერტილით ხელში

დაწერეთ წესის შედეგი წინადადებად: საჯარო UDP პორტი X აღწევს Y მისამართის Z პორტს. შემდეგ იკითხეთ, რომელი სერვისები Y-ზე შეიძლება პასუხი გასცეს Z-ზე და ვის ეკუთვნის ისინი.

nft list ruleset

თუ პასუხი არის ის ერთი მსმენელი, რომელიც განიზრახეთ, წესი თავის საქმეს აკეთებს.

თუ პასუხი რამდენიმეა, თქვენ აირჩიეთ გადამისამართება მთელ ჰოსტზე, მიუხედავად იმისა, ინტერფეისმა ასე უწოდა თუ არა.