Жоғарғы маршрутизатор кіріс VPN порттарын шынымен жеткізе ме?

Зертхана маршрутизаторындағы портты қайта бағыттау бірдеңе жариялай ма, оны үш шарт шешеді: жоғарғы шет нені жеткізеді, қандай саясат қолданады және жауаптар сол жолмен қайта ма. Қоғамдық болып көрінетін мекенжай олардың ешқайсысына жауап бермейді. /30 префиксі немесе жұмыс істейтін шығыс қосылысы да. NAT-ты өзгерту алдында осы шарттарды реттеңіз, әйтпесе блок екі секіріс қашықтықта тұрғанда жергілікті ереже бұзылған болып көрінеді.

Үш жауап кімге эскалация жасайтыныңызды шешеді

Жоғарғы шеттің иесі тапсыруды үш жолдың бірімен сипаттай алады. Межелі орын тікелей сіздің интерфейсіңізге жеткізіледі, бөлек префикс келесі секірісіңізге бағытталады, немесе алдындағы бірдеңе мекенжайды сізге жетпей тұрып аударады. Әр жауап кіріс қосылысына рұқсат беруі тиіс басқа құрылғыны және бұлай болмағанда хабарласу керек басқа команданы атайды.

Сүзгілеу — төртінші айнымалы және ол үшеуіне де тәуелсіз. Желі өзінің қоғамдық мекенжайын сақтайтын трафикті сүзе алады, ал аудармашы автоматты түрде саясат шекарасы бола бермейді. Рұқсат етілген бастау мекенжайлары, тасымалдар және порттар туралы жеткізумен бір уақытта сұраңыз, өйткені шет тастап жіберетін қайта бағытталған порт сіздің ережеңізге ешқашан жетпейді.

Тапсыруды қызмет келісімі ретінде оқыңыз

Зертхана маршрутизаторына тиюдің алдында бес мәнді жазып алыңыз: тағайындалған интерфейс мекенжайы, префикс ұзындығы, келесі секіріс, сыртқы клиенттер қолданатын межелі мекенжай, және нақты хаттама мен порт. Қызықтысы — межелі орын, өйткені ол құрылғыңызда конфигурацияланған мекенжай мүлдем болмауы мүмкін. Егер жоғарғы шет клиенттер аударылған мекенжайға жетеді деп күтсе, жергілікті DNAT сол келісімшартқа сай болуы керек, сіз көріп отырған интерфейс мекенжайына емес.

IETF-тің брандмауэр мінез-құлқы туралы талқылауы сүзгілеу мен аударудың бөлек функциялар екенін пайдалы еске салады. Ол маршрутизатордың мекенжайларды жасырмай кіріс саясатын қалай орындай алатынын және жоғарыда бір жерде NAT болуы сүзгілеудің дәл сол жерде жүретінін неге дәлелдемейтінін түсіндіреді. Тапсыруды иесі мен өзгерту процесі бар қызмет сипаттамасы ретінде қарастырыңыз.

Екі шекарада бір әрекетті бақылаңыз

Екі нүктеде корреляцияланған бір тар, мақұлданған әрекет болжамдар үйіндісін алмастырады. Нақты tuple үшін зертхананың WAN интерфейсінде түсірілім іске қосыңыз және жоғарғы шеттің иесінен сол tuple-ды шетте бақылауды сұраңыз. Межелі орынды, хаттаманы, портты, бастауды және уақыт белгісін екі көрініс арасында бірдей ұстаңыз.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Нәтижелер жұбын шешім ретінде оқыңыз. Шетте көрінген және зертхана WAN-ында көрінген — жеткізу де, шет саясаты да өтті деген сөз, сондықтан тыңдаушымен немесе DNAT-пен жалғастырыңыз. Шетте көрініп, зертхана WAN-ында көрінбегені жеткізуге немесе аралық саясатқа меңзейді, ал келесі қоңырау жоғарғы шеттің иесіне. Еш жерде көрінбеуі брандмауэр сұрағына дейін-ақ сынақ tuple-ы, бастауы немесе жолы қате дегенді білдіреді.

Бір түсірілімде дәлелдің болмауы брандмауэрдің дәлелі емес. Бұл келесі қай құрылғыны тексеру керектігін айтатын шекара нәтижесі.

Жергілікті NAT жауапты жасыруына жол бермеңіз

Жергілікті ереже кіріс расталғаннан кейін ғана қызықты болады. DNAT нысаны VPN тыңдаушысының нақты мекенжайы мен порты екенін, тиісті отбасы үшін қайта бағыттау қосылғанын және жауап сұрау келген интерфейстен шығатынын растаңыз. Межелі орынды қайта жазатын, бірақ қайтару жолын жазбайтын ереже тасталған пакетпен бірдей күту уақытын береді.

Тексеру кезінде порт қауіпсіздігі мен өндірістік тапсыруды сақтаңыз. Қосылу бақылауларын айналып өту үшін маршрутизаторды алмастыру немесе оның MAC мекенжайын жасадыру диагностиканы үзіліске айырбастайды. Айна порты немесе мақұлданған түсірілім сілтемені бөлісетін қызметтерді ажыратпай-ақ сол көрінушілікті береді.

Меншік картасымен аяқтаңыз: межелі орын, жеткізуші құрылғы, сүзгіш құрылғы, зертханаға кіру және тыңдаушы. Бұл карта келесі портты қайта бағыттау шолуын шағын етеді және VPN-нің өзі туралы ештеңені растамайды.