Жогорку маршрутизатор кирүүчү VPN портторун чындап жеткиреби?

Лаборатория маршрутизаторундагы портту өткөрүп берүү бир нерсе жарыялайбы, аны үч шарт чечет: жогорку чети эмнени жеткирет, кандай саясатты колдонот жана жооптор ошол эле жол менен кайтабы. Коомдук көрүнгөн дарек алардын бирине да жооп бербейт. /30 префикси же иштеген чыгуучу байланыш да. NATты өзгөртүүдөн мурун бул шарттарды иреттеңиз, болбосо блок эки секирик алыста турганда жергиликтүү эреже бузук көрүнөт.

Үч жооп кимге эскалацияларыңызды чечет

Жогорку четинин ээси өткөрүп берүүнү үч жолдун бири менен сүрөттөй алат. Багыт түздөн-түз сиздин интерфейсиңизге жеткирилет, өзүнчө префикс кийинки секиригиңизге багытталат, же алдыңкы бир нерсе даректи сизге жетпей туруп которот. Ар бир жооп кирүүчү байланышка уруксат бериши керек болгон башка түзмөнү жана бул болбогондо чалуу керек болгон башка команданы атайт.

Фильтрлөө — төртүнчү өзгөрмө жана ал үчөөнө тең көз каранды эмес. Тармак өзүнүн коомдук дарегин сактаган трафикти фильтрлей алат, ал эми которуучу автоматтык түрдө саясаттын чеги боло бербейт. Уруксат берилген булак даректери, ташуулар жана порттор тууралуу жеткирүү менен бир убакта сураңыз, анткени чети таштап кеткен өткөрүлгөн порт сиздин эрежеңизге эч качан жетпейт.

Өткөрүп берүүнү кызмат келишими катары окуңуз

Лаборатория маршрутизаторуна тийүүдөн мурун беш маанини жазып алыңыз: дайындалган интерфейс дареги, префикс узундугу, кийинки секирик, сырткы кардарлар колдоно турган багыт дареги, жана так протокол менен порт. Кызыктуусу — багыт, анткени ал түзмөгүңүздө конфигурацияланган дарек такыр болбошу мүмкүн. Эгер жогорку чети кардарлар которулган дарекке жетет деп күтсө, жергиликтүү DNAT ошол келишимге туура келиши керек, сиз көрүп турган интерфейс дарегине эмес.

IETFтин брандмауэр жүрүм-туруму тууралуу талкуусу фильтрлөө менен которуунун өзүнчө функциялар экенин пайдалуу эскертет. Ал маршрутизатор даректерди жашырбастан кирүү саясатын кантип аткара аларын жана жогоруда бир жерде NAT болушу фильтрлөөнүн ошол жерде жүрүшүн эмнеге далилдебей турганын түшүндүрөт. Өткөрүп берүүнү ээси жана өзгөртүү процесси бар кызмат сүрөттөмөсү катары кабыл алыңыз.

Эки чекте бир аракетти байкаңыз

Эки чекитте корреляцияланган бир кууш, уруксат берилген аракет божомолдордун үймөгүн алмаштырат. Так tuple үчүн лабораториянын WAN интерфейсинде кармоо иштетиңиз жана жогорку четинин ээсинен ошол эле tupleды четине байкоону сураныңыз. Багытты, протоколду, портту, булакты жана убакыт белгисин эки көрүнүштүн ортосунда бирдей кармаңыз.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Жыйынтыктардын жупун чечим катары окуңуз. Четте көрүнгөн жана лабораториянын WANында көрүнгөн — жеткирүү да, четтин саясаты да өттү дегендик, ошондуктан угуучу же DNAT менен улантыңыз. Четте көрүнүп, лабораториянын WANында көрүнбөгөнү жеткирүүгө же аралык саясатка багыттайт, ал эми кийинки чалуу жогорку четинин ээсине. Эч жерде көрүнбөөсү брандмауэр суроосуна чейин эле сыноо tupleы, булагы же жолу туура эмес экенин билдирет.

Бир кармоодо далилдин жоктугу брандмауэрдин далили эмес. Бул кийинки кайсы түзмөнү текшерүү керектигин айткан чек ара жыйынтыгы.

Жергиликтүү NAT жоопту жашырууга жол бербеңиз

Жергиликтүү эреже кирүү тастыкталгандан кийин гана кызыктуу болот. DNATтын бутасы VPN угуучусунун чыныгы дареги жана порту экенин, тиешелүү үй-бүлө үчүн өткөрүп берүү күйгүзүлгөнүн жана жооп суроо келген интерфейстен чыгарын тастыктаңыз. Багытты кайра жазуучу, бирок кайтуу жолун жазбаган эреже ташталган пакет менен бирдей күтүү убактысын берет.

Текшерүү учурунда порт коопсуздугун жана өндүрүштүк өткөрүп берүүнү сактаңыз. Туташуу көзөмөлдөрүн айланып өтүү үчүн маршрутизаторду алмаштыруу же анын MAC дарегин жасалмалоо диагностиканы үзгүлтүккө алмаштырат. Күзгү порт же уруксат берилген кармоо шилтемени бөлүшкөн кызматтарды ажыратпастан эле ошол көрүнүштү берет.

Менчик картасы менен аяктаңыз: багыт, жеткирүүчү түзмөк, фильтрлөөчү түзмөк, лабораторияга кирүү жана угуучу. Бул карта кийинки портту өткөрүп берүү кароосун кичине кылат жана VPNдин өзү тууралуу эч нерсени тастыктабайт.