Pārsūtīt visu uz vienu resursdatoru vai pārrakstīt arī ostu?

Visu pārsūtīšana uz jūsu VPN serveri var aprakstīt divus ļoti atšķirīgus noteikumus. Viens maina mērķa adresi un saglabā ienākošo ostu; otrs arī pārraksta ostu uz vienu klausītāju. Ietekme nav vienāda, un lēmums ir atkarīgs no trim nosacījumiem, nevis no marķējuma, ko izmanto maršrutētāja saskarne.

Pirmais nosacījums: kurus laukus maina noteikums?

Mērķa adreses tulkošana un mērķa ostas tulkošana ir atsevišķas darbības. Noteikums var veikt tikai pirmo vai abas kopā, un atšķirība nosaka, kuri pakalpojumi mērķa resursdatorā ir sasniedzami. Lielākā daļa ražotāju saskarņu šo izvēli slēpj aiz viena marķējuma. Pamatnoteikuma lasīšana ir vienīgais veids, kā uzzināt, kuru jūs ieguvāt.

Lasiet faktisko noteikumu, nevis izvēlnes marķējumu. Ekrāns ar DMZ vai visām ostām apraksta nodomu, nevis pakešu ceļu. Netfilter NAT dokumentācija atdala abas tulkošanas, un tas ir pareizais domāšanas modelis arī tad, ja maršrutētājs jums priekšā ir sadzīves ierīce.

Divi lauki, divi atšķirīgi jautājumi.

Otrais nosacījums: kas klausās saglabātajās ostās?

Ja noteikums saglabā ienākošo ostu, katra pienākošā osta tiek nogādāta tai pašai numuram VPN resursdatorā, ievērojot šī resursdatora ievades politiku. Tas ietver pakalpojumus, par kuriem, iespējams, esat aizmirsis, ka tie klausās. Noteikums šos pakalpojumus nav radījis, un tagad tas ir ceļš uz tiem.

Ja noteikums pārraksta ostu, notiek pretējais: daudzas ārējās ostas saplūst vienā klausītājā, un nekas cits resursdatorā nav sasniedzams ar šo noteikumu. Pārrakstīšana uz fiksētu ostu nekļūst par piekļuvi katram vietējam pakalpojumam tikai tāpēc, ka tam atbilda plašs ārējo ostu diapazons. Abi dizaini neizdodas dažādos virzienos, un tieši kļūmes režīmu jūs izvēlaties. Izvēlieties to, kura kļūmi varat izturēt.

Pirms izvēles veiciet klausītāja uzskaiti.

Trešais nosacījums: cik plaša ir ārējā ieeja?

Vienas izvēlētas ostas publicēšana ir šaurāka nekā diapazona publicēšana, un abas ir šaurākas nekā visa pieņemšana. Ārējais platums un iekšējā tulkošana ir neatkarīgas izvēles, un lielākā daļa apjukuma rodas, mainot vienu, kamēr apraksta otru.

Parastai VPN ieejai publicējiet transportu un klausītāju, kas dizainam patiešām nepieciešami. Pēc tam pārbaudiet vēl trīs lietas: maršrutētāja faktisko kartējumu, mērķa resursdatora paša ievades noteikumus un to, vai IPv6 klausītājs publicē to pašu pakalpojumu. Noteikums, kas izskatās šaurs vienā adrešu saimē, otrā var būt plats.

Pierakstiet tulkoto galapunktu pilnībā: protokols, ārējā osta, iekšējā adrese, iekšējā osta.

Ko nedod neviens no abiem noteikumiem

Neviens no abiem dizainiem nepierāda, ka pakalpojumam nav ievainojamību, un neviens neaizsargā pieejamību. Autentifikācija, atjauninājumi un atjaunošana paliek tvērumā neatkarīgi no tā, cik šaurs ir ostu kartējums. Šaurs kartējums samazina sasniedzamo virsmu; tas nepadara klausītāju drošu.

Plašs noteikums, kas jau atbalsta citu likumīgu pakalpojumu, ir atkarība, nevis tikai kļūda. Veiciet tā uzskaiti un aizstājiet to ar īpašnieka starpniecību pirms noņemšanas, citādi izmaiņas izskatīsies kā drošības labojuma izraisīts pārtraukums. Tāda pati piesardzība attiecas uz pārrakstīšanu uz fiksētu ostu, uz kuru kaut kas cits klusi paļaujas.

Ietekmes analīze ir par to, kas ko var sasniegt, nevis par marķējumu ekrānā.

Izlemiet, turot tulkoto galapunktu rokā

Pierakstiet noteikuma rezultātu kā teikumu: publiskā UDP osta X sasniedz adresi Y ostu Z. Pēc tam jautājiet, kuri pakalpojumi Y var atbildēt uz Z un kam tie pieder.

nft list ruleset

Ja atbilde ir tas viens klausītājs, ko bijāt iecerējis, noteikums dara savu darbu.

Ja atbilde ir vairāki, jūs esat izvēlējies pārsūtīšanu uz visu resursdatoru, vai saskarne to tā nosauca vai nē.