업스트림 라우터가 정말 인바운드 VPN 포트를 전달할까

랩 라우터의 포트 포워딩이 무언가를 게시하는지는 세 가지 조건이 결정합니다. 업스트림 경계가 무엇을 전달하는지, 어떤 정책을 적용하는지, 응답이 같은 경로로 돌아오는지입니다. 공인처럼 보이는 주소는 그중 어느 것도 답하지 않으며 /30 접두사나 동작하는 아웃바운드 연결도 마찬가지입니다. NAT를 바꾸기 전에 이 조건들을 정리하세요, 그렇지 않으면 차단이 두 홉 떨어져 있는데도 로컬 규칙이 고장 난 것처럼 보입니다.

세 가지 답이 에스컬레이션 대상을 결정한다

업스트림 소유자는 핸드오프를 세 가지 방식 중 하나로 설명할 수 있습니다. 목적지가 인터페이스로 직접 전달되거나, 별도 접두사가 다음 홉으로 라우팅되거나, 앞단의 무언가가 주소가 도달하기 전에 변환합니다. 각 답은 인바운드 연결을 허용해야 하는 다른 장비와, 그렇지 않을 때 연락할 다른 팀을 지목합니다.

필터링은 네 번째 변수이며 세 가지 모두와 무관합니다. 네트워크는 공인 주소를 유지하는 트래픽을 필터링할 수 있고, 변환기는 자동으로 정책 경계가 아닙니다. 허용된 소스 주소, 전송, 포트를 전달과 동시에 물어보세요, 경계에서 버리는 포워딩된 포트는 절대 규칙에 도달하지 않기 때문입니다.

핸드오프를 서비스 계약으로 읽어라

랩 라우터를 만지기 전에 할당된 인터페이스 주소, 접두사 길이, 다음 홉, 외부 클라이언트가 사용할 목적지 주소, 정확한 프로토콜과 포트의 다섯 가지 값을 적으세요. 흥미로운 것은 목적지인데, 장비에 구성된 주소가 전혀 아닐 수 있습니다. 업스트림이 클라이언트가 변환된 주소에 도달하기를 기대한다면, 로컬 DNAT는 여러분이 보는 인터페이스 주소가 아니라 그 계약에 맞아야 합니다.

IETF의 방화벽 동작 논의는 필터링과 변환이 별개의 기능임을 일깨워 줍니다. 라우터가 주소를 숨기지 않고 인바운드 정책을 시행할 수 있는 이유와, 업스트림 어딘가에 NAT가 있다고 해서 그곳에서 필터링이 일어난다는 증거가 되지 않는 이유를 설명합니다. 핸드오프를 소유자와 변경 절차가 있는 서비스 기술로 다루세요.

양쪽 경계에서 한 번의 시도를 관찰하라

두 지점에서 상관된 하나의 좁고 승인된 시도가 수많은 추측을 대체합니다. 정확한 튜플에 대해 랩 WAN 인터페이스에서 캡처를 실행하고, 업스트림 소유자에게 경계에서 같은 튜플을 관찰해 달라고 요청하세요. 목적지, 프로토콜, 포트, 소스, 타임스탬프를 두 시점에서 동일하게 유지합니다.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

결과 쌍을 결정으로 읽으세요. 경계에서 보이고 랩 WAN에서도 보이면 전달과 경계 정책이 모두 통과한 것이므로 리스너나 DNAT로 진행합니다. 경계에서 보이지만 랩 WAN에서 보이지 않으면 전달이나 중간 정책을 가리키며, 다음 연락은 업스트림 소유자입니다. 어디에서도 보이지 않으면 방화벽 질문 이전에 테스트 튜플, 소스, 경로가 잘못된 것입니다.

한 번의 캡처에서 증거가 없다고 해서 방화벽의 증거가 되는 것은 아닙니다. 다음에 어떤 장비를 점검할지 알려 주는 경계 결과입니다.

로컬 NAT가 답을 숨기지 못하게 하라

로컬 규칙은 인그레스가 확인된 뒤에야 흥미로워집니다. DNAT 대상이 VPN 리스너의 실제 주소와 포트인지, 관련 주소 체계에 대해 포워딩이 활성화되어 있는지, 응답이 요청이 도착한 인터페이스로 나가는지 확인하세요. 목적지만 다시 쓰고 반환 경로는 쓰지 않는 규칙은 버려진 패킷과 같은 타임아웃을 만듭니다.

조사하는 동안 포트 보안과 운영 핸드오프를 유지하세요. 연결 제어를 우회하려고 라우터를 교체하거나 MAC 주소를 위조하는 것은 진단을 장애와 맞바꾸는 일입니다. 미러 포트나 승인된 캡처는 링크를 공유하는 서비스를 끊지 않고 같은 가시성을 제공합니다.

소유권 지도, 즉 목적지, 전달 장비, 필터링 장비, 랩 인그레스, 리스너로 마무리하세요. 그 지도는 다음 포트 포워딩 검토를 작게 만들고, VPN 자체에 대해서는 아무것도 인증하지 않습니다.