Барлығын бір хостқа бағыттау керек пе, әлде портты да қайта жазу керек пе?

Барлығын VPN серверіңізге бағыттау екі мүлдем басқа ережені сипаттауы мүмкін. Біреуі межелі мекенжайды өзгертіп, кіріс портын сақтайды; екіншісі портты да бір тыңдаушыға қайта жазады. Әсер ету бірдей емес және шешім маршрутизатор интерфейсі қолданатын белгіге емес, үш шартқа байланысты.

Бірінші шарт: ереже қай өрістерді өзгертеді?

Межелі мекенжайды түрлендіру және межелі портты түрлендіру — бөлек операциялар. Ереже тек біріншісін немесе екеуін бірге орындай алады, ал айырмашылық мақсатты хосттағы қай қызметтердің қолжетімді екенін анықтайды. Өндіруші интерфейстерінің көбі бұл таңдауды бір белгінің артына жасырады. Негізгі ережені оқу — қайсысын алғаныңызды білудің жалғыз жолы.

Мәзір белгісін емес, нақты ережені оқыңыз. DMZ немесе барлық порттар деп жазатын экран ниетті сипаттайды, пакет жолын емес. Netfilter NAT құжаттамасы екі түрлендіруді бөледі және алдыңыздағы маршрутизатор тұтынушы құрылғысы болса да, бұл дұрыс ойлау үлгісі.

Екі өріс, екі түрлі сұрақ.

Екінші шарт: сақталған порттарда не тыңдап тұр?

Егер ереже кіріс портын сақтаса, келген әрбір порт VPN хосттағы сол нөмірге жеткізіледі, сол хосттың кіріс саясатына сәйкес. Бұған тыңдап тұрғанын ұмытып кеткен қызметтер де кіреді. Ереже бұл қызметтерді жасаған жоқ және қазір ол оларға апарар жол.

Егер ереже портты қайта жазса, керісінше болады: көптеген сыртқы порттар бір тыңдаушыға жиналады және хосттағы басқа ештеңе сол ереже арқылы қолжетімсіз. Тұрақты портқа қайта жазу сыртқы порттардың кең ауқымы оған сәйкес келді деп, әрбір жергілікті қызметке қатынасқа айналмайды. Екі дизайн әртүрлі бағытта сәтсіздікке ұшырайды және сіз таңдап отырған нәрсе — сәтсіздік режимі. Сәтсіздігімен өмір сүре алатыныңызды таңдаңыз.

Таңдамас бұрын тыңдаушының тізімін жасаңыз.

Үшінші шарт: сыртқы кіреберіс қаншалықты кең?

Бір таңдалған портты жариялау ауқымды жариялаудан тар және екеуі де бәрін қабылдаудан тар. Сыртқы ен және ішкі түрлендіру тәуелсіз таңдаулар, ал шатасудың көбі бірін өзгертіп, екіншісін сипаттаудан туады.

Қарапайым VPN кіреберісі үшін дизайнға шынымен қажет тасымалдауды және тыңдаушыны жариялаңыз. Содан кейін тағы үш нәрсені қарап шығыңыз: маршрутизатордың тиімді картасын, мақсатты хосттың өз кіріс ережелерін және IPv6 тыңдаушысы сол қызметті жариялай ма. Бір мекенжай тобында тар көрінетін ереже екіншісінде кең болуы мүмкін.

Түрлендірілген соңғы нүктені толық жазыңыз: хаттама, сыртқы порт, ішкі мекенжай, ішкі порт.

Екі ереженің де сізге бермейтіні

Екі дизайнның ешқайсысы қызметтің осалдықтардан таза екенін дәлелдемейді және ешқайсысы қолжетімділікті қорғамайды. Аутентификация, жаңартулар және қалпына келтіру порт картасы қаншалықты тар болса да шеңберде қалады. Тар карта қолжетімді бетті азайтады; ол тыңдаушыны қауіпсіз етпейді.

Басқа заңды қызметті қолдап отырған кең ереже — жай ғана қате емес, тәуелділік. Оның тізімін жасаңыз және жою алдында иесі арқылы ауыстырыңыз, әйтпесе өзгеріс қауіпсіздік түзетуінен туған үзіліс сияқты көрінеді. Дәл осындай сақтық басқа бір нәрсе үнсіз сүйенетін тұрақты портқа қайта жазуды да қамтиды.

Әсер етуді талдау — бір нәрсенің екіншісіне жете алатыны туралы, экрандағы белгі туралы емес.

Түрлендірілген соңғы нүкте қолыңызда болғанда шешіңіз

Ереженің нәтижесін сөйлем түрінде жазыңыз: жалпыға ашық UDP порты X Y мекенжайының Z портына жетеді. Содан кейін Y-де қай қызметтер Z-ге жауап бере алатынын және олардың иесі кім екенін сұраңыз.

nft list ruleset

Егер жауап сіз көздеген сол бір тыңдаушы болса, ереже өз жұмысын атқарып тұр.

Егер жауап бірнешеу болса, интерфейс оны солай атады ма, жоқ па — сіз бүкіл хостқа бағыттауды таңдадыңыз.