Баарын бир хостко багыттоо керекпи, же портту да кайра жазуу керекпи?

Баарын VPN сервериңизге багыттоо эки абдан башка эрежелерди сүрөттөбөсү мүмкүн. Бирөө барар даректи өзгөртүп, кирүүчү портту сактайт; экинчиси портту да бир угуучуга кайра жазат. Таасир бирдей эмес жана чечим маршрутизатордун интерфейси колдонгон белгиге эмес, үч шартка көз каранды.

Биринчи шарт: эреже кайсы талааларды өзгөртөт?

Барар даректин которулушу жана барар порттун которулушу өзүнчө операциялар. Эреже биринчисин гана же экөөнү тең аткара алат, ал эми айырма максаттуу хосттогу кайсы кызматтар жеткиликтүү экенин аныктайт. Өндүрүүчүлөрдүн интерфейстеринин көбү бул тандоону бир белгинин артына жашырат. Негизги эрежени окуу гана кайсынысын алганыңызды билүүнүн жолу.

Меню белгисин эмес, чыныгы эрежени окуңуз. DMZ же бардык порт деп жазган экран ниетти сүрөттөйт, пакеттин жолун эмес. Netfilter NAT документтери эки которууну бөлүп көрсөтөт жана алдыңыздагы маршрутизатор керектөөчү түзмөк болсо да, бул туура ой жүгүртүү модели.

Эки талаа, эки башка суроо.

Экинчи шарт: сакталган порттордо эмне угуп турат?

Эгер эреже кирүүчү портту сактаса, келген ар бир порт VPN хосттогу ошол эле номурга жеткирилет, ошол хосттун кирүү саясатына ылайык. Буга угуп жатканын унутуп калган кызматтар да кирет. Эреже бул кызматтарды жараткан эмес жана азыр ал аларга алып баруучу жол.

Эгер эреже портту кайра жазса, тескерисинче болот: көптөгөн тышкы порттор бир угуучуга топтолот жана хосттогу башка эч нерсе ошол эреже аркылуу жеткиликсиз. Туруктуу портко кайра жазуу тышкы порттордун кенен диапазону ага туура келди деп, ар бир жергиликтүү кызматка кирүүгө айланбайт. Эки долбоор ар башка багытта ишке ашпайт жана сиз тандап жаткан нерсе — ишке ашпоо режими. Ишке ашпоосу менен жашай алганды тандаңыз.

Тандоодон мурун угуучунун тизмесин түзүңүз.

Үчүнчү шарт: тышкы кирүү канчалык кенен?

Бир тандалган портту жарыялоо диапазонду жарыялоодон тар жана экөө тең баарын кабыл алуудан тар. Тышкы кенендик жана ички которуу көз карандысыз тандоолор, ал эми башаламандыктын көбү бирин өзгөртүп, экинчисин сүрөттөөдөн келет.

Кадимки VPN кирүүсү үчүн долбоор чындап муктаж болгон транспортту жана угуучуну жарыялаңыз. Андан кийин дагы үч нерсени карап чыгыңыз: маршрутизатордун натыйжалуу картасын, максаттуу хосттун өзүнүн кирүү эрежелерин жана IPv6 угуучусу ошол эле кызматты жарыялайбы. Бир дарек үй-бүлөсүндө тар көрүнгөн эреже экинчисинде кенен болушу мүмкүн.

Которулган акыркы чекитти толук жазыңыз: протокол, тышкы порт, ички дарек, ички порт.

Эки эреженин эч бири бербеген нерсе

Эки долбоордун эч бири кызматтын алсыздыктардан таза экенин далилдебейт жана эч бири жеткиликтүүлүктү коргобойт. Аутентификация, жаңыртуулар жана калыбына келтирүү порт картасы канчалык тар болбосун чөйрөдө калат. Тар карта жеткиликтүү бетти азайтат; ал угуучуну коопсуз кылбайт.

Башка мыйзамдуу кызматты колдоп жаткан кенен эреже жөн гана ката эмес, көз карандылык. Анын тизмесин түзүңүз жана жоюудан мурун ээси аркылуу алмаштырыңыз, болбосо өзгөрүү коопсуздук түзөтүүсүнөн улам болгон үзгүлтүк сыяктуу көрүнөт. Ушундай эле этияттык башка нерсе үнсүз таянган туруктуу портко кайра жазууга да тиешелүү.

Таасир анализи бир нерсенин экинчисине жете алары тууралуу, экрандагы белги тууралуу эмес.

Которулган акыркы чекит колуңузда болгондо чечиңиз

Эреженин натыйжасын сүйлөм түрүндө жазыңыз: коомдук UDP порту X Y дарегинин Z портуна жетет. Андан кийин Y де кайсы кызматтар Z ге жооп бере аларын жана алар кимге таандык экенин сураңыз.

nft list ruleset

Эгер жооп сиз көздөгөн ошол бир угуучу болсо, эреже өз ишин аткарып жатат.

Эгер жооп бир нече болсо, интерфейс аны ошондой атадыбы же жокпу — сиз бүт хостко багыттоону тандадыңыз.