Persiųsti viską į vieną mazgą ar perrašyti ir prievadą?

Visko persiuntimas į jūsų VPN serverį gali apibūdinti dvi labai skirtingas taisykles. Viena keičia paskirties adresą ir išlaiko gaunamą prievadą; kita taip pat perrašo prievadą į vieną klausytoją. Poveikis nėra tas pats, o sprendimas priklauso nuo trijų sąlygų, o ne nuo etiketės, kurią naudoja maršrutizatoriaus sąsaja.

Pirmoji sąlyga: kuriuos laukus keičia taisyklė?

Paskirties adreso vertimas ir paskirties prievado vertimas yra atskiros operacijos. Taisyklė gali atlikti tik pirmąją arba abi kartu, o skirtumas nulemia, kurios paslaugos tiksliniame mazge yra pasiekiamos. Dauguma gamintojų sąsajų šį pasirinkimą slepia už vienos etiketės. Pagrindinės taisyklės skaitymas yra vienintelis būdas sužinoti, kurią gavote.

Skaitykite tikrąją taisyklę, o ne meniu etiketę. Ekranas su DMZ arba visais prievadais apibūdina ketinimą, o ne paketo kelią. Netfilter NAT dokumentacija atskiria abu vertimus, ir tai yra teisingas mąstymo modelis net tada, kai priešais jus esantis maršrutizatorius yra buitinis įrenginys.

Du laukai, du skirtingi klausimai.

Antroji sąlyga: kas klausosi išsaugotuose prievaduose?

Jei taisyklė išlaiko gaunamą prievadą, kiekvienas atvykstantis prievadas pristatomas tam pačiam numeriui VPN mazge, atsižvelgiant į to mazgo įvesties politiką. Tai apima paslaugas, kurias galbūt pamiršote, kad jos klausosi. Taisyklė tų paslaugų nesukūrė, ir dabar ji yra kelias į jas.

Jei taisyklė perrašo prievadą, atsitinka priešingai: daug išorinių prievadų susilieja į vieną klausytoją, ir nieko kito mazge negalima pasiekti per tą taisyklę. Perrašymas į fiksuotą prievadą netampa prieiga prie kiekvienos vietinės paslaugos vien todėl, kad jį atitiko platus išorinių prievadų diapazonas. Du sprendimai nepavyksta skirtingomis kryptimis, ir būtent gedimo režimą jūs pasirenkate. Pasirinkite tą, kurio gedimą galite pakelti.

Prieš rinkdamiesi suinventorizuokite klausytoją.

Trečioji sąlyga: kokia plati išorinė įeiga?

Vieno pasirinkto prievado paskelbimas yra siauresnis nei diapazono paskelbimas, ir abu yra siauresni nei priimti viską. Išorinis plotis ir vidinis vertimas yra nepriklausomi pasirinkimai, o dauguma painiavos kyla keičiant vieną aprašant kitą.

Įprastai VPN įeigai paskelbkite transportą ir klausytoją, kurių dizainui tikrai reikia. Tada peržiūrėkite dar tris dalykus: efektyvų maršrutizatoriaus atvaizdavimą, paties tikslinio mazgo įvesties taisykles ir ar IPv6 klausytojas skelbia tą pačią paslaugą. Taisyklė, kuri atrodo siaura vienoje adresų šeimoje, kitoje gali būti plati.

Užrašykite išverstą galinį tašką visiškai: protokolas, išorinis prievadas, vidinis adresas, vidinis prievadas.

Ko neduoda nė viena taisyklė

Nė vienas sprendimas neįrodo, kad paslauga neturi pažeidžiamumų, ir nė vienas neapsaugo prieinamumo. Autentifikavimas, atnaujinimai ir atkūrimas lieka apimtyje, nesvarbu, kokia siaura prievadų atvaizdavimas. Siauras atvaizdavimas sumažina pasiekiamą paviršių; jis nepadaro klausytojo saugaus.

Plati taisyklė, kuri jau palaiko kitą teisėtą paslaugą, yra priklausomybė, o ne tik klaida. Suinventorizuokite ją ir pakeiskite per jos savininką prieš pašalindami, kitaip pakeitimas atrodys kaip saugumo taisymo sukeltas sutrikimas. Toks pat atsargumas taikomas perrašymui į fiksuotą prievadą, kuriuo tyliai remiasi kažkas kitas.

Poveikio analizė yra apie tai, kas ką gali pasiekti, o ne apie etiketę ekrane.

Spręskite turėdami išverstą galinį tašką rankoje

Užrašykite taisyklės rezultatą kaip sakinį: viešas UDP prievadas X pasiekia adresą Y prievadą Z. Tada paklauskite, kurios paslaugos Y gali atsakyti Z ir kam jos priklauso.

nft list ruleset

Jei atsakymas yra tas vienas klausytojas, kurį turėjote omenyje, taisyklė atlieka savo darbą.

Jei atsakymas yra keli, pasirinkote persiuntimą į visą mazgą, nesvarbu, ar sąsaja tai taip pavadino, ar ne.