Ar tiesioginis maršrutizatorius tikrai pristato įeinančius VPN prievadus?

Trys sąlygos nusprendžia, ar prievado peradresavimas laboratorijos maršrutizatoriuje ką nors paskelbs: ką pristato viršutinis kraštas, kokią politiką jis taiko ir ar atsakymai grįžta tuo pačiu keliu. Viešai atrodantis adresas neatsako nė į vieną jų. Taip pat /30 priešdėlis arba veikiantis išėjimo ryšys. Sudėliokite tas sąlygas prieš keisdami NAT, kitaip vietinė taisyklė atrodys sugedusi, kai blokas yra už dviejų šuolių.

Trys atsakymai nusprendžia, kam eskaluoti

Viršutinės dalies savininkas perdavimą gali aprašyti vienu iš trijų būdų. Tikslas pristatomas tiesiai į jūsų sąsają, atskiras priešdėlis maršrutizuojamas į kitą šuolį, arba kažkas priekyje išverčia adresą prieš jam pasiekiant jus. Kiekvienas atsakymas įvardija skirtingą įrenginį, kuris turi leisti įeinantį ryšį, ir skirtingą komandą, į kurią reikia skambinti, kai taip neatsitinka.

Filtravimas yra ketvirtasis kintamasis ir jis nepriklauso nuo visų trijų. Tinklas gali filtruoti srautą, kuris išlaiko savo viešąjį adresą, o vertėjas nėra automatiškai politikos riba. Klauskite apie leidžiamus šaltinio adresus, transportus ir prievadus kartu su pristatymu, nes peradresuotas prievadas, kurį kraštas numeta, niekada nepasiekia jūsų taisyklės.

Skaitykite perdavimą kaip paslaugos sutartį

Užrašykite penkias reikšmes prieš liesdami laboratorijos maršrutizatorių: priskirtą sąsajos adresą, priešdėlio ilgį, kitą šuolį, tikslo adresą, kurį naudos išorės klientai, ir tikslų protokolą bei prievadą. Įdomiausias yra tikslas, nes jis gali būti visiškai ne jūsų įrenginyje sukonfigūruotas adresas. Jei viršutinė dalis tikisi, kad klientai pasieks išverstą adresą, vietinis DNAT turi atitikti tą sutartį, o ne jūsų matomą sąsajos adresą.

IETF diskusija apie ugniasienės elgseną yra naudingas priminimas, kad filtravimas ir vertimas yra atskiros funkcijos. Ji paaiškina, kodėl maršrutizatorius gali vykdyti įėjimo politiką neslėpdamas adresų, ir kodėl NAT kažkur viršuje neįrodo, kad filtravimas vyksta būtent ten. Perdavimą traktuokite kaip paslaugos aprašą su savininku ir pakeitimo procesu.

Stebėkite vieną bandymą abiejose ribose

Vienas siauras, patvirtintas bandymas, koreliuotas dviejuose taškuose, pakeičia spėjimų krūvą. Paleiskite įrašymą laboratorijos WAN sąsajoje tiksliam rinkiniui ir paprašykite viršutinės dalies savininko stebėti tą patį rinkinį krašte. Laikykite tikslą, protokolą, prievadą, šaltinį ir laiko žymą identiškus abiejuose vaizduose.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Skaitykite rezultatų porą kaip sprendimą. Matytas krašte ir matytas laboratorijos WAN reiškia, kad ir pristatymas, ir krašto politika praeina, todėl tęskite su klausytoju arba DNAT. Matytas krašte, bet ne laboratorijos WAN, rodo pristatymą arba tarpinę politiką, o kitas skambutis – viršutinės dalies savininkui. Niekur nematytas reiškia, kad testo rinkinys, šaltinis ar kelias yra neteisingi dar prieš bet kokį ugniasienės klausimą.

Įrodymų nebuvimas viename įraše nėra ugniasienės įrodymas. Tai ribos rezultatas, nurodantis, kurį įrenginį tikrinti toliau.

Neleiskite vietiniam NAT paslėpti atsakymo

Vietinė taisyklė tampa įdomi tik patvirtinus įėjimą. Patvirtinkite, kad DNAT tikslas yra tikrasis VPN klausytojo adresas ir prievadas, kad peradresavimas įjungtas atitinkamai šeimai ir kad atsakymas išeina per sąsają, kuria atėjo užklausa. Taisyklė, kuri perrašo tikslą, bet ne grįžimo kelią, sukuria tokią pačią laiko limitą kaip numestas paketas.

Tirdami išlaikykite prievado saugumą ir gamybos perdavimą. Maršrutizatoriaus pakeitimas ar jo MAC adreso klastojimas siekiant apeiti prisijungimo kontrolę iškeičia diagnostiką į triktį. Veidrodinis prievadas arba patvirtintas įrašymas suteikia tokį pat matomumą neatjungus paslaugų, kurios dalijasi jungtimi.

Pabaikite nuosavybės žemėlapiu: tikslas, pristatantis įrenginys, filtruojantis įrenginys, laboratorijos įėjimas ir klausytojas. Šis žemėlapis padaro kitą prievado peradresavimo peržiūrą mažą, ir jis nieko neautentifikuoja apie patį VPN.