Firwat Heem-NAT Är VPN-Schnittstell net schützt

Laptoppen hannert engem Heemrouter ouni Port-Weiderleitung akzeptéieren nach ëmmer SSH-Verbindungen, déi iwwer d'VPN kommen. Dat ass kee Widdersproch, well zwee verschidden Apparater zwee verschidde Paken beurteelen. Den Router leet den verschlësselte Transport weider, an den Host entscheet, wat mat dem entschlësselte Pak geschitt, deen op senger Tunnelschnittstell ukommt. Dës zwou Entscheedunge getrennt ze halen ass déi ganz Übung.

Den Router leet den Tunnel weider, den Host beurteelt de Pak

Zeechent de Wee vun der wäiter Quell bis zum Service, ier Dir eng eenzeg Regel ukuckt. Den äusseren Deel ass den VPN-Transport, deen den Router an de Gateway behandelen. Den bannenzege Deel fänkt un, wann den Endpunkt d'Tunnelschicht ofsträift an den Host e Pak kritt, deen op seng VPN-Adress adresséiert ass.

Füügt déi zwee Deeler zesummen an den Router kritt Kredit fir eng Entscheedung, déi den Host trëfft. Eng Port-Weiderleitungs-Säit oder en Router-Log beschreiwe just äusser Gespréicher, an keng seet, wéi en entschlësselte Verkéier den Host akzeptéiert. Den Host applizéiert seng eegen Inputpolitik op de bannenzege Pak, grad wéi op all Pak, deen op enger Schnittstell ukommt. An där Politik gëtt d'Fro vun der Expositioun tatsächlech entscheet.

En Wildcard-Lauschterer ass kee ëffentleche Service

Op Linux heescht d'Bannen un INADDR_ANY all lokal Adress, dofir kann e Service op enger Tunnelschnittstell äntweren, déi hien ni genannt huet. D'IP-Socket-Referenz beschreift dës Bannen, an et ass derwäert se ze liesen, ier Dir Schlëss aus enger Lauschterer-Lëscht zitt. En Wildcard-Agang ass eng Tatsaach iwwer de Socket, keng Ausso iwwer d'Erreechbarkeet.

Déi zwee Zeilen hei drënner sinn dee selwechte Service an zwou verschiddene Bannen, an den Ënnerscheed ass déi ganz Äntwert op d'Fro, ob d'Schnittstell wichteg ass. Liest op wéi enger Adress de Socket sëtzt, ier Dir eppes anescht maacht.

ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))

Nennt d'Arrangement, dat de Port kéint erreechen

Dräi Arrangementer setzen e Pak op déi Schnittstell, an si hu verschidde Besëtzer. Dee richtege ze nennen entscheet, wien eng Politik muss änneren.

En Browser-Resultat, deen eng ëffentlech Ausgangsadress weist, seet näischt iwwer eng vun den dräi, well et beschreift, wéi den ausgoende Verkéier fortgeet, an net wat dem agoende Verkéier erlaabt ass. Schafft éischter zréck vum Lauschterer an der Quelladress am Service-Log. Wann d'Quell en anere Tunnel-Peer ass, ass d'Gateway-Politik dat interessant Dokument. Wann et eng iwwersat Adress ass, fannt d'Iwwersetzung, ier Dir eng Regel ännert.

Begrenzt de Service op de Wee, deen Dir gemengt hutt

Wann SSH just vun engem Verwaltungswee gebraucht gëtt, schreift dee Wee als Quellberäich plus eng Schnittstell op. Dann begrenzt dem Host seng Inputregelen no Schnittstell, Bestëmmung a Quell amplaz no Netzwierknumn, well en Numm, deen privat ausgesäit, fir all Adress ka stoen. Halt eng Route fir déi Persoun, déi den nächste Problem léist.

nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter input

Eng Regel, déi d'Tunnelschnittstell an de Verwaltungsberäich nennt, seet d'Absicht op enger Plaz. Vergläicht se mat enger Regel, déi fir den Wi-Fi-Netzwierk geschriwwe gouf, déi näischt iwwer entschlësselte Tunnelverkéier seet. Wann déi zwou Schichten net iwwerenee stëmmen, ass d'Hostpolitik déi, déi de Pak begéint.

Loosst Umellungen a Patches genee do, wou se sinn; e Port z'erreechen war ni datselwecht wéi et ze däerfen notzen. Notéiert d'Adressfamill an d'Zäit fir all onbekannt Quell, an ënnersicht, ier Dir eng Funktioun oder eng Schwachstell beschëllegt. Eng Regel, déi all Tunnel-Peer erlaabt, ass en anert Design wéi eng, déi en Verwaltungssubnetz erlaabt, an keng Logzeil wäert soen, wéi eng gemengt war.

Akzeptéiert de Fix mat engem Erfolleg an enger Refus

Beweist béid Hälften: eng genehmegt Verbindung geléngt an ee ausgeschlossene Wee gëtt refuséiert. D'Refus ass d'Halschent, déi d'Leit iwwersprangen, an et ass déi, déi weist, datt d'Regel schafft, amplaz niewent engem erlaabenden Standard ze stoen. Test aus der ausgeschlossener Säit amplaz doriwwer ze raisonéieren.

Widderhëlt d'Paar no enger Neiverbindung, well en Tunnel, deen mat engem aneren Schnittstellennumm zréckkënnt, eng Regel, déi op déi al begrenzt ass, stëll ëmgoe kann. D'Grenz, déi wichteg ass, ass déi, déi den Host op Paken uwendt, déi hien tatsächlech kritt.