Een OpenVPN-Port, dräi Servicer: firwat bannenzeg Porten wichteg sinn

Een Tunnel, dräi Servicer, een ëffentleche Port. Trennt de baussege VPN-Lauschterer vun de bannenzege Porte vun den Applikatiounen, a test dann all bannenzeg Autorisatioun eenzel.

Eng SSH-Sessioun, eng Webapp an eng Nummofro kënnen eng eenzeg VPN-Verbindung deele, ouni sech ëm Porten ze streiden. De Client baut eng verschlësselte Stroum zum Gateway op, a jiddwer Applikatiounsgespréich reest dobannen. Bausse si just den eegenen Transport an de Port vum Tunnel ze gesinn. Bannen hält all Service säin eegene Port a brauch nach ëmmer seng eegen Autorisatioun.

Wat déi bausseg Stroum dréit, a wat se verstoppt

De Client packt all Pak an den Transport vum Tunnel, ier et d'Maschinn verléisst. Déi bausseg Stroum huet een Destinatiounsport, festgeluecht wéi de VPN konfiguréiert gouf. Bannen an der Hëllef behält all ursprénglecht Pak d'Adress an de Port vum Service, deen et uviséiert. De Gateway zitt d'Hëllef of a routet no dem bannenzege Header, sou datt d'Destinatioun e gewéinleche Client gesäit, deen aus dem Netzwierk kënnt.

Eng Opnam op der WAN-Schnittstell weist dofir eng Konversatioun, net dräi. Déi bannenzeg Porte erschéngen eréischt no der Dekapsuléierung. Dofir kann eng eenzeg Firewall-Öffnung SSH, HTTPS an DNS gläichzäiteg droen.

# WAN side: one outer tuple, whatever the inner services are
tcpdump -ni wan0 'udp port 443'
# tunnel side: the inner tuples appear after decapsulation
tcpdump -ni tun0

D'TUN/TAP-Dokumentatioun behandelt d'Iwwergab, bei där en gerouteten TUN-Gerät IP-Pakete tëschent dem Kernel an engem Prozess am Benotzerraum weidergëtt. Just dës Iwwergab mécht den bannenzege Header fir de Routing- a Firewallcode vum Gateway sichtbar. Se erklärt och, firwat de baussege Port näischt doriwwer seet, wéi eng Servicer erlaabt sinn.

D'NAT-Weiderleitung gehéiert zum Lauschterer, net zu den Applikatiounen

En selbst gehostete Gateway hannert IPv4-NAT brauch eng eenzeg erakommend Iwwersetzung: d'ëffentlech Adress an de Port ginn op de VPN-Lauschterer gemappt. Et ass keng Regel fir SSH, HTTPS oder DNS néideg, just well Tunnelbenotzer se erreechen. Dës Porten ze verëffentlechen géif Servicer aussetzen, déi den Tunnel schonn schützt. D'Weiderleitungsregel beschreift d'Erreechbarkeet vum Lauschterer, net eng Autorisatioun fir eppes bannen.

Och ëmgedréit gëllt et. Den Tunnelport opzemaachen setzt näischt anescht aus, sou datt e Service, deen nëmmen duerch den Tunnel erreechbar ass, seng ëffentlech Uewerfläch zou hält. Dës Trennung ass meeschtens just de Grond, de Service privat ze halen.

D'bannenzeg Politik ass et, wou den Zougang tatsächlech decidéiert gëtt

Verschlësselung schützt de Wee; se autoriséiert keen Destinatioun. Client-Routen wielen, wéi eng Prefixen an den Tunnel kommen, d'Weiderleitungspolitik vum Gateway decidéiert, ob Paken en verloosse kënnen, an d'Firewall vun der Destinatioun plus den Login decidéieren, ob de Service äntwert. DNS ass dee kloerste Fall: Froen ze droen mécht net, datt e Resolver se aus Ärem Client-Pool acceptéiert. All Schicht kann onofhängeg nee soen.

Test all Service eenzel duerch den Tunnel. Eng erfollegräich Nummofro seet näischt iwwer de Webport, an eng erfollegräich Webufro seet näischt iwwer SSH.

dig @10.40.0.53 app.corp.example
nc -vz 10.40.0.10 8443
ssh -p 2222 [email protected]

Wann den Tunnel erop ass an alles feelt, lies als éischt d'Routentabell vum Client. Wann een Service feelt, während déi aner funktionéieren, sëtzt de Feeler op där Destinatioun. Déi zwou Observatiounen deiten op verschidde Responsabelen, an se ze vermëschen verschwend Zäit.

WireGuard zitt déiselwecht Linn

WireGuard nennt säi baussege Lauschterer mat ListenPort, an eng bannenzeg Applikatioun benotzt nach ëmmer de Serviceport, deen se brauch. AllowedIPs ass eng Rei geroutete Prefixen, keng Lëscht vun erlaabte Serviceporten. Se als Port-Autorisatiounslëscht ze liesen produzéiert Regelen, déi net mathalen, wat den Tunnel mécht. D'Benennung ass anescht; d'Schichtung net.

Erlaabt de Service an der lokaler Input-Politik, wann en um Endpunkt selwer leeft, oder an der Weiderleitungspolitik, wann en hannert dësem Endpunkt sëtzt. Den Ënnerscheed decidéiert, wéi eng Regelset d'Pak gesäit.

D'allgemeng Form ass een baussegen Transport mat ville bannenzege Gespréicher. Produkter, déi verschidden bausseg Austausch oder en anere IP-Protokoll brauchen, erënneren drun, datt de Muster vun engem eenzegen ëffentleche Port dësen Design beschreift an net all VPN.

Ähnlech Artikelen