Liwwert den Upstream-Router wierklech erakommend VPN-Porten?

Dräi Bedéngungen entscheeden, ob eng Portweiderleitung um Labo-Router iwwerhaapt eppes publizéiert: wat den Upstream-Rand liwwert, wéi eng Politik en uwendt, an ob Äntwerten iwwer de selwechte Wee zeréckkommen. Eng Adresse, déi ëffentlech ausgesäit, äntwert op keng dovun. Och net en /30-Präfix oder eng funktionéierend ausgänglech Verbindung. Sortéiert dës Bedéngungen, ier Dir NAT ännert, soss wäert d'lokal Regel futti ausgesinn, woubäi de Block zwee Spréng wäit ewech läit.

Dräi Äntwerten entscheeden, u wien Dir eskaléiert

Den Upstream-Besëtzer kann d'Iwweruebergabe op eng vun dräi Aarte beschreiwen. D'Zil gëtt direkt un Är Interface geliwwert, en eegene Präfix gëtt op Ären nächste Sprong geroutet, oder eppes virun drun iwwersetzt d'Adresse, ier se Iech erreecht. All Äntwert nennt en anert Apparat, dat d'erakommend Verbindung muss erlaben, an en anert Team, dat ee muss ruffen, wann dat net geschitt.

D'Filtréierung ass déi véiert Variabel an se ass onofhängeg vun allen dräi. En Netzwierk kann Traffic filtréieren, deen seng ëffentlech Adresse behält, an en Iwwersetzer ass net automatesch d'Politikgrenz. Frot no erlaabten Quelladressen, Transportmëttelen a Porten gläichzäiteg mat der Liwwerung, well en ëmgeleet Port, deen den Rand fale léisst, ni Är Regel erreecht.

Liest d'Iwweruebergabe als Déngschtleeschtungskontrakt

Schreift fënnef Wäerter op, ier Dir den Labo-Router beréiert: d'zougewisen Interfaceadresse, d'Längt vum Präfix, den nächste Sprong, d'Ziladresse, déi extern Clienten benotze wäerten, an de geneechte Protokoll a Port. D'Zil ass dat interessant, well et vläicht guer keng Adresse ass, déi op Ärem Apparat konfiguréiert ass. Wann den Upstream erwaart, datt Clienten eng iwwersat Adresse erreechen, muss lokal DNAT deem Kontrakt entspriechen an net der Interfaceadresse, déi Dir gesitt.

D'IETF-Diskussioun iwwer Firewall-Verhalen ass eng nëtzlech Erënnerung, datt Filtréierung an Iwwersetzung getrennte Funktiounen sinn. Si erkläert, firwat en Router erakommend Politik ka forcéieren, ouni Adressen ze verstoppen, a firwat NAT irgendwou uewen net beweist, datt d'Filtréierung do geschitt. Behandelt d'Iwweruebergabe als Déngschtleeschtungsbeschreiwung mat engem Besëtzer an engem Ännerungsprozess.

Observéiert en eenzege Versuch op béide Grenzen

En enken, guttgeheescht Versich, op zwee Punkte korreléiert, ersetzt e Koup Vermutungen. Fuert eng Opnam op der WAN-Interface vum Labo fir de geneechten Tuple aus, a frot den Upstream-Besëtzer, dee selwechten Tuple um Rand ze observéieren. Halt Zil, Protokoll, Port, Quell an Zäitstempel identesch tëscht den zwou Visiounen.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Liest d'Puer Resultater als Entscheedung. Um Rand gesinn an um Labo-WAN gesinn heescht, datt d'Liwwerung an d'Randpolitik allebéid duerchginn, also fuert mam Lauschterer oder DNAT weider. Um Rand gesinn awer net um Labo-WAN weist op d'Liwwerung oder eng mëttel Politik hin, an den nächsten Uruff ass beim Upstream-Besëtzer. Niergendwo gesinn heescht, datt den Test-Tuple, d'Quell oder de Wee falsch sinn, éier iwwerhaapt eng Firewall-Fro kënnt.

D'Feele vu Beweiser an enger Opnam ass kee Beweis fir eng Firewall. Et ass en Grenzresultat, dat Iech seet, wéi en Apparat Dir als nächstes musst ënnersichen.

Loosst lokal NAT d'Äntwert net verstoppen

Eréischt nodeems den Erantrëtt confirméiert ass, gëtt d'lokal Regel interessant. Confirméiert, datt den DNAT-Zil déi tatsächlech Adresse an de Port vum VPN-Lauschterer ass, datt d'Weiderleitung fir déi betreffend Famill aktivéiert ass, an datt d'Äntwert duerch déi Interface erausgeet, op där d'Ufro ukomm ass. Eng Regel, déi d'Zil ëmschreift awer net den Zeréckwee, produzéiert dee selwechten Timeout wéi e verworfene Paket.

Behält Portsécherheet an d'Produktiounsiwweruebergabe, wärend Dir ënnersicht. Den Router ersetzen oder seng MAC-Adresse fälschen, fir d'Verbindungskontrollen z'ëmgoen, tauscht eng Diagnos géint eng Ënnerbriechung. En Spigelport oder eng guttgeheescht Opnam gëtt déi selwecht Visibilitéit, ouni Déngschter ze trennen, déi de Link deelen.

Schléisst mat der Besëtzerkaart of: Zil, liwwerenden Apparat, filtréierenden Apparat, Labo-Erantrëtt a Lauschterer. Déi Kaart mécht déi nächst Iwwerpréiwung vun der Portweiderleitung kleng, an se authentifizéiert näischt iwwer de VPN selwer.