Alles op een Host schécken oder och de Port ëmschreiwen?

Alles op Äre VPN-Server schécken kann zwee ganz verschidde Reegelen beschreiwen. Déi eng ännert d'Zieladress an hält de Port, deen erakënnt; déi aner schreift och de Port op een eenzegen Nolauschterer ëm. D'Expositioun ass net déiselwecht, an d'Entscheedung hänkt vun dräi Konditiounen of, net vum Label, deen d'Interface vum Router benotzt.

Éischt Konditioun: wéi eng Felder ännert d'Reegel?

D'Iwwersetzung vun der Zieladress an d'Iwwersetzung vum Zielport sinn getrennt Operatiounen. Eng Reegel kann nëmmen déi éischt ausféieren oder béid zesummen, an den Ënnerscheed entscheet, wéi eng Servicer um Zielhost erreechbar sinn. Déi meescht Hierstellerinterface verstoppen déi Wiel hannert engem eenzegen Label. D'Grondreegel ze liesen ass deen eenzege Wee fir ze wëssen, wéi eng Dir kritt hutt.

Liest déi tatsächlech Reegel, net de Menülabel. En Écran mat DMZ oder all Porten beschreift eng Absicht, net e Paketwee. D'Netfilter-NAT-Dokumentatioun trennt déi zwou Iwwersetzungen, an dat ass de richtege Gedankemodell och wann de Router virun Iech en Appareil fir Konsumenten ass.

Zwee Felder, zwou verschidde Froen.

Zweet Konditioun: wat lauschtert op de behalenene Porten?

Wann d'Reegel de Port, deen erakënnt, behält, gëtt all Port, déi ukënnt, op déi selwecht Nummer um VPN-Host geliwwert, ënner der Inputpolitik vun deem Host. Dat ëmfaasst Servicer, déi Dir vläicht vergiess hutt, datt se lauschteren. D'Reegel huet déi Servicer net geschaf, an elo ass se de Wee dohinner.

Wann d'Reegel de Port ëmschreift, geschitt dat Géigendeel: vill baussenzeg Porte falen op een eenzegen Nolauschterer zesummen, an näischt anescht um Host ass iwwer déi Reegel erreechbar. Eng Ëmschreiwung op eng fix Port gëtt net Zougang zu all lokalem Service just well e breede Beräich vu baussenzegen Porten drop gepasst huet. Déi zwou Designen versoen an ënnerschiddlechen Richtungen, an de Feelmodus ass dat, wat Dir wielt. Wielt deen, mat deem sengem Versoe Dir liewen kënnt.

Maacht en Inventar vum Nolauschterer, ier Dir wielt.

Drëtt Konditioun: wéi breet ass den baussenzegen Agang?

Een ausgewielte Port ze publizéieren ass méi schmuel wéi e Beräich ze publizéieren, an béid si méi schmuel wéi alles ze akzeptéieren. Déi baussenzeg Breet an d'inner Iwwersetzung sinn onofhängeg Wielen, an de meeschte Konfus entsteet doduerch, datt een dat engt ännert, während een dat anert beschreift.

Fir en normale VPN-Agang, publizéiert den Transport an den Nolauschterer, déi den Design tatsächlech brauch. Iwwerpréift duerno nach dräi Saachen: d'effektiv Mapping vum Router, dem Zielhost seng eege Inputreegelen, an ob en IPv6-Nolauschterer dee selwechte Service publizéiert. Eng Reegel, déi an enger Adressfamill schmuel ausgesäit, kann an der anerer breet sinn.

Schreift den iwwersaten Endpunkt komplett op: Protokoll, baussenzeg Port, bannenzeg Adress, bannenzeg Port.

Wat keng vun deenen zwou Reegelen Iech gëtt

Keen vun den zwou Designen beweist, datt de Service fräi vu Schwachstelle ass, a keen schützt d'Disponibilitéit. Authentifikatioun, Updates a Restauratioun bleiwen am Kader, egal wéi schmuel d'Portmapping ass. E schmuel Mapping reduzéiert d'erreechbar Uewerfläch; et mécht den Nolauschterer net sécher.

Eng breet Reegel, déi schonn en aneren legitimen Service ënnerstëtzt, ass eng Ofhängegkeet, net just e Feeler. Maacht en Inventar dovun a ersetzt se iwwer hire Proprietär, ier Dir se ewechhëlt, soss wäert d'Ännerung wéi eng Ënnerbriechung ausgesinn, déi vun enger Sécherheetskorrektur verursaacht gouf. Déi selwecht Vorsicht gëllt fir eng Ëmschreiwung op eng fix Port, op déi een aneres roueg sech verloosst.

D'Expositiounsanalyse geet drëm, wat wat erreeche kann, net ëm de Label um Écran.

Entscheet mam iwwersaten Endpunkt an der Hand

Schreift d'Resultat vun der Reegel als Saz: de öffentlechen UDP-Port X erreecht d'Adress Y Port Z. Froen duerno, wéi eng Servicer op Y op Z äntwerten kënnen a wiem se gehéieren.

nft list ruleset

Wann d'Äntwert deen eenzegen Nolauschterer ass, deen Dir geduecht hutt, mécht d'Reegel seng Aarbecht.

Wann d'Äntwert e puer sinn, hutt Dir d'Weiderschécken op de ganzen Host gewielt, egal ob d'Interface et esou genannt huet oder net.