Reegelen déi all Porten viruleeden kënnen däin WireGuard-Listener verschlécken
Eng breet Viruleedungsreegel ka d'Gateway seng eegen WireGuard- an SSH-Listener verschlécken. Wiel schmuel Reegelen oder eng separat ëffentlech Adress an test duerno de Kontrollwee.
Eng ëffentlech Gateway bedreift schonn WireGuard op UDP 51820, SSH op 22 an eng Applikatioun déi aus dem Internet erreechbar muss sinn. Déi verlockend Reegel leet all Port un de Peer weider a seet et wier fäerdeg. Op enger WireGuard-Gateway ka sou eng Reegel den eegene Transport vum Tunnel afänken an dech aus der Maschinn ausschléissen déi en terminéiert. Publikatioun ass eng Routing-Entscheedung mat enger Ausnam fir d'Kontrollplang, net eng eenzeg DNAT-Linn.
Ëffentlechen Agang oder Tunnelagang: wielt een
Eng Servicer publizéieren schaaft en neien Agangspunkt an d'Internet. Dat ass net d'selwecht wéi engem Peer VPN-Memberschaft ze ginn, well de Besich ni an den Tunnel kënnt an d'Gateway d'ëffentlech Gesiicht vum Backend gëtt. Dee Grond ënnerscheet d'Publikum vun der Reegel an hiert Zertifika.
Administrativ Interface gehéieren do seelen hin. Eng Admin-Säit déi vun autoriséierte VPN-Klienten erreecht gëtt, hält d'Ugriffsfläch am Tunnel an vermeit et fir e Login-Formular fir e blann Scannen opzemaachen. Ëffentlech Applikatiouns-Endpunkte brauchen nach ëmmer hiert eegent TLS-Zertifika, Authentifikatioun an Drosselung; de verschlësselte WireGuard-Schrack schützt de Fouss vum Besich bis op d'Gateway net.
Wann de Service wierklech ëffentlech muss sinn, schreif den Hostnumm op, d'Zertifika dat en deckt an d'Besichsberäicher déi sollten drop kommen. Déi dräi Fakten entscheeden duerno d'Form vun der Reegel an d'Filterpolitik. Alles dobaussen ass Engerdausdehnung op engem ëffentleche Listener.
Eng Port eran, ee Backend eraus
Benotz eng eenzeg ëffentlech Port an ee Backend-Service. An dësem Beispill dréit eth0 d'ëffentlech Adress 198.51.100.20, d'Tunneladress vun der Gateway ass 10.200.0.1 an de Peer bedreift d'Applikatioun op 10.200.0.7. Ëffentlech TCP 9443 gëtt op TCP 8443 vum Peer gemappt:
iptables -t nat -A PREROUTING -i eth0 -d 198.51.100.20 -p tcp --dport 9443 -j DNAT --to-destination 10.200.0.7:8443
iptables -t nat -A POSTROUTING -o wg0 -d 10.200.0.7 -p tcp --dport 8443 -m conntrack --ctorigdst 198.51.100.20 --ctorigdstport 9443 -j SNAT --to-source 10.200.0.1D'SNAT-Reegel entsprécht dem iwwersaten Backend an dem ursprénglechen ëffentlechen Zil, sou datt eng aner Verbindung zu deem selwechte Backend-Service baussent dësem Mapping bleift. Si verstoppt och d'Adress vum Besich virum Peer, an dat ass den Tausch deen eng geroutete Réckkéier mat erhalener Quell zu engem eegene Konzept mécht. D'Referenz vun den iptables-Erweiderungen dokumentéiert béid Ziler an hir passend Optiounen.
Viruleeden muss nach ageschalt ginn, an d'Filterkette brauch eng Erlaabnes fir dat iwwersat Zil an de Port plus établéiert Äntwerten. D'FORWARD-Kette gesäit dat iwwersat Zil nom DNAT, dofir passt eng Reegel déi géint d'ëffentlech Adress geschriwwe gouf net op de viruleete Pak. Schreif d'Erlaabnes géint den Backend-Tupel, net géint deen ëffentlechen.
De Peer muss d'Serviceverbindung vun der Tunneladress vun der Gateway unhuelen an d'Äntwert duerch den Tunnel zréckschécken. Seng AllowedIPs muss d'Quell autoriséieren déi en tatsächlech kritt, an ënner QuellIwwersetzung ass dat d'Tunneladress vun der Gateway, an eng breet 0.0.0.0/0-Andro u jiddwer Peer ass fir dëst Konzept net néideg. Wat den Zerécktraffik fale léisst ass e Peer deem seng Lëscht déi Adress feelt, oder e Konzept dat d'Quell erhält an amplaz d'Adress vum Besich weiderleet, also kontrolléier d'Quell déi de Peer wierklech gesäit an net déi an denger Reegel.
Hal d'eegen Listener vun der Gateway aus der Reegel
D'Iwwersetzung vum Zil geschitt éier d'Maschinn entscheet datt e Pak lokal ass, dofir kann UDP 51820 beim Peer landen an net beim Prozess deen all Peer-Verbindung hält. D'Reegel luede sech erfollegräich an den Tunnel stierft, wat e schwéier ze liese Fehler vun der Peersäit ass.
SSH, Monitoring-Agenten an all anere Service op der Gateway hunn déi selwecht Exposition. Eng Reegel déi alles weiderleet ënnerscheet d'Kontrollplang net vun der publizéierter Applikatioun, an den éischte Reboot nom Changement ass dee Moment wou d'Ausschleissung evident gëtt. D'Reegel déi alles deckt warnt net virum Service deen se stëll iwwerhëlt. Du entdecks en wann déi nächst Verbindung feelt.
Wann breet Viruleeden wierklech néideg ass, reservéier d'Kontrollporten virun der Reegel déi alles deckt oder benotz eng separat ëffentlech Adress fir d'Publikatioun. Déi zweet Optioun ass méi propper well d'Kontrolladress hir eege Politik hält, awer de Provider muss déi Adress liwweren; en DNS-Andrag derbäisetzen verdeelt keng.
Breet TCP- an UDP-Viruleeden ass och net all Protokoll. ICMP, IPv6, Wee-MTU-Feedback an den äusseren VPN-Transport brauchen hir eege Politik, an eng Reegel déi TCP an UDP deckt léisst déi Fäll un der Standardkette.
Wiel d'Modell éier s de Reegelen schreifs
Véier Formen decken déi meescht Gateway-Publikatiounen, an d'Wiel hänkt dovun of wéi vill Servicer s du bedreifs a wéi vill Risiko vun der Kontrollplang s du kenns toleréieren. D'Tabell hei drënner ordert se vun der schmuelster bis zur breetster.
| Model | What it protects | Cost | Use when |
|---|---|---|---|
| Narrow port forward | Every other listener, including the VPN | One rule per service | Few services, stable ports |
| Catch-all with reserved ports | Ports named in the exception list | Rule order becomes critical | Many services and disciplined review |
| Separate public address | Control address fully isolated | Provider must supply the address | High-value publication |
| VPN-only access | No public entry at all | Visitors need the tunnel | Admin interfaces and internal tools |
Fänk mat der schmueler Modell un och wann s du spéider méi Servicer erwaarts. Si ass am einfachsten ze auditieren, an eng Rei schmuel Reegelen an eng iwwerpréift Reegel déi alles deckt ëmzewandelen ass méi einfach wéi erauszefannen wéi een Listener eng breet Reegel gefaangen huet. Wéi eng Modell s du och wiels, hal d'Reegelen beim Besëtzer vun der Firewall. iptables-Linnen niewent enger UFW- oder nftables-Konfiguratioun setzen déi déi selwecht Ketten geréiert, produzéiert eng Politik déi sech nom Bootuerdnung ännert.
Beweis souwuel d'Publikatioun wéi och de Kontrollwee
Test vun engem autoriséierten äussere Client mat dem approuvéierten Hostnumm an engem Zertifika dat dofir gëlteg ass. Confirméier wéi ee Backend geäntwert huet, da kontrolléier datt onverbonne ëffentlech Porten nach ëmmer refuséiert ginn. Eng deaktivéiert Zertifikatskontroll ass keen erfollegräichen HTTPS-Test, an eng Verbindung déi de falschen Backend erreecht ass méi schlëmm wéi eng feelgeschloen.
Duerno verifizéier d'Gateway selwer: verbann e WireGuard-Peer, maach eng SSH-Session op a confirméier datt d'Monitoring nach ëmmer rapportert. Dee publizéierte Service ka funktionéieren während d'Kontrollplang futti ass, dofir gehéieren béid Kontrollen an d'selwecht Changementsfënster. Reboot eng Kéier fir ze beweisen datt d'Reegelen an der erwaarter Uerdnung erëm ugewannt ginn, huelt duerno d'Publikatioun ewech a confirméier datt d'Ewechhuele wierklech zum Derbäisetzen passt. Eng grouss Rei Startbäisätz mat onkompletten Ofbau ass wéi en temporären Test eng permanent Oppnung gëtt.