ნამდვილად აწვდის ზედა როუტერი შემომავალ VPN პორტებს?

სამი პირობა წყვეტს, გამოაქვეყნებს თუ არა რამეს ლაბორატორიის როუტერზე პორტის გადამისამართება: რას აწვდის ზედა კიდე, რომელ პოლიტიკას იყენებს და ბრუნდება თუ არა პასუხები იმავე გზით. საჯაროდ მოჩვენებული მისამართი არც ერთ მათგანს არ პასუხობს. არც /30 პრეფიქსი და არც მომუშავე გამავალი კავშირი. დაალაგეთ ეს პირობები NAT-ის შეცვლამდე, თორემ ლოკალური წესი გატეხილად გამოჩნდება, როცა ბლოკირება ორი ხტომით შორს არის.

სამი პასუხი წყვეტს, ვის მიმართ ესკალაციას

ზედა კიდის მფლობელს გადაცემის აღწერა სამი გზიდან ერთით შეუძლია. დანიშნულება პირდაპირ თქვენს ინტერფეისზე მიეწოდება, ცალკე პრეფიქსი თქვენს შემდეგ ხტომაზე იმარშრუტება, ან წინ რაღაც მისამართს თარგმნის სანამ თქვენამდე მოვა. ყოველი პასუხი ასახელებს განსხვავებულ მოწყობილობას, რომელმაც უნდა დაუშვას შემომავალი კავშირი, და განსხვავებულ გუნდს, რომელსაც უნდა დაურეკოთ, როცა ეს არ ხდება.

ფილტრაცია მეოთხე ცვლადია და დამოუკიდებელია სამივესგან. ქსელს შეუძლია გაფილტროს ტრაფიკი, რომელიც ინარჩუნებს თავის საჯარო მისამართს, და მთარგმნელი ავტომატურად არ არის პოლიტიკის საზღვარი. ჰკითხეთ დაშვებულ წყაროს მისამართებზე, ტრანსპორტსა და პორტებზე გადაცემის პარალელურად, რადგან კიდის მიერ ჩამოშორებული გადამისამართებული პორტი არასოდეს აღწევს თქვენს წესამდე.

გადაცემა წაიკითხეთ როგორც მომსახურების ხელშეკრულება

დაწერეთ ხუთი მნიშვნელობა სანამ ლაბორატორიის როუტერს შეეხებით: მინიჭებული ინტერფეისის მისამართი, პრეფიქსის სიგრძე, შემდეგი ხტომა, დანიშნულების მისამართი, რომელსაც გარე კლიენტები გამოიყენებენ, და ზუსტი პროტოკოლი და პორტი. საინტერესო დანიშნულებაა, რადგან შესაძლოა საერთოდ არ იყოს თქვენს მოწყობილობაზე კონფიგურირებული მისამართი. თუ ზედა კიდე მოელის, რომ კლიენტები თარგმნილ მისამართამდე მივლენ, ლოკალური DNAT უნდა შეესაბამებოდეს ამ კონტრაქტს და არა ინტერფეისის მისამართს, რომელსაც ხედავთ.

IETF-ის განხილვა ფაიერვოლის ქცევაზე სასარგებლო შეხსენებაა, რომ ფილტრაცია და თარგმნა ცალკე ფუნქციებია. ის ხსნის, რატომ შეუძლია როუტერს შემომავალი პოლიტიკის აღსრულება მისამართების დამალვის გარეშე, და რატომ არ ამტკიცებს სადღაც ზემოთ NAT-ის არსებობას, რომ ფილტრაცია სწორედ იქ ხდება. მოექეცით გადაცემას როგორც სერვისის აღწერას მფლობელითა და ცვლილების პროცესით.

დააკვირდით ერთ მცდელობას ორივე საზღვარზე

ორ წერტილში კორელირებული ერთი ვიწრო, დამტკიცებული მცდელობა ცვლის ვარაუდების გროვას. გაუშვით ჩაწერა ლაბორატორიის WAN ინტერფეისზე ზუსტი tuple-ისთვის, და სთხოვეთ ზედა კიდის მფლობელს დააკვირდეს იმავე tuple-ს კიდეზე. შეინარჩუნეთ დანიშნულება, პროტოკოლი, პორტი, წყარო და დროის ნიშა იდენტური ორ ხედვას შორის.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

წაიკითხეთ შედეგების წყვილი როგორც გადაწყვეტილება. კიდეზე დანახული და ლაბორატორიის WAN-ზე დანახული ნიშნავს, რომ გადაცემაც და კიდის პოლიტიკაც გადის, ამიტომ გააგრძელეთ მსმენით ან DNAT-ით. კიდეზე დანახული, მაგრამ ლაბორატორიის WAN-ზე არ დანახული მიუთითებს გადაცემაზე ან შუალედურ პოლიტიკაზე, და შემდეგი ზარი ზედა კიდის მფლობელს ეკუთვნის. არსად დანახული ნიშნავს, რომ ტესტური tuple, წყარო ან გზა არასწორია ჯერ კიდევ ფაიერვოლის კითხვამდე.

ერთ ჩაწერაში მტკიცებულების არარსებობა ფაიერვოლის მტკიცებულება არ არის. ეს საზღვრის შედეგია, რომელიც გეუბნებათ, რომელი მოწყობილობა უნდა შეამოწმოთ შემდეგ.

ნუ დაუშვებთ ლოკალურ NAT-ს პასუხის დამალვას

ლოკალური წესი საინტერესო ხდება მხოლოდ შემოსვლის დადასტურების შემდეგ. დაადასტურეთ, რომ DNAT-ის სამიზნე VPN მსმენის რეალური მისამართი და პორტია, რომ გადაცემა ჩართულია შესაბამისი ოჯახისთვის, და რომ პასუხი გადის იმ ინტერფეისიდან, რომლითაც მოთხოვნა მოვიდა. წესი, რომელიც გადაწერს დანიშნულებას, მაგრამ არა დაბრუნების გზას, იმავე დროის ამოწურვას იძლევა, რასაც ჩამოგდებული პაკეტი.

გამოძიების დროს შეინარჩუნეთ პორტის უსაფრთხოება და წარმოების გადაცემა. როუტერის შეცვლა ან მისი MAC მისამართის გაყალბება დაკავშირების კონტროლის ასარიდებლად დიაგნოსტიკას ცვლის შეფერხებით. სარკისებური პორტი ან დამტკიცებული ჩაწერა იძლევა იმავე ხილვადობას ბმულის გამზიარებელი სერვისების გათიშვის გარეშე.

დაასრულეთ საკუთრების რუკით: დანიშნულება, მიმწოდებელი მოწყობილობა, ფილტრავი მოწყობილობა, ლაბორატორიის შემოსვლა და მსმენი. ეს რუკა პატარას ხდის პორტის გადამისამართების შემდეგ მიმოხილვას, და ის არაფერს ადასტურებს თავად VPN-ის შესახებ.