Vai augšupējais maršrutētājs tiešām piegādā ienākošos VPN portus?

Trīs nosacījumi izlemj, vai porta pāradresēšana laboratorijas maršrutētājā kaut ko publicēs: ko piegādā augšējā mala, kādu politiku tā piemēro un vai atbildes atgriežas pa to pašu ceļu. Publiski izskatoša adrese neatbild ne uz vienu no tiem. Arī /30 prefikss vai strādājošs izejošais savienojums. Sakārtojiet šos nosacījumus pirms NAT maiņas, citādi vietējais noteikums izskatīsies salauzts, kamēr bloks atrodas divus lēcienus tālāk.

Trīs atbildes izlemj, pie kā eskaldēt

Augšējās malas īpašnieks nodošanu var aprakstīt vienā no trim veidiem. Galamērķis tiek piegādāts tieši jūsu saskarnei, atsevišķs prefikss tiek maršrutēts uz jūsu nākamo lēcienu, vai kaut kas priekšā pārtulko adresi, pirms tā jūs sasniedz. Katra atbilde nosauc citu ierīci, kurai jāatļauj ienākošais savienojums, un citu komandu, kurai jāzvana, kad tas nenotiek.

Filtrēšana ir ceturtais mainīgais, un tas nav atkarīgs no visiem trim. Tīkls var filtrēt satiksmi, kas saglabā savu publisko adresi, un tulkotājs nav automātiski politikas robeža. Jautājiet par atļautajām avota adresēm, transportiem un portiem vienlaikus ar piegādi, jo pāradresētais ports, ko mala nomet, nekad nesasniedz jūsu noteikumu.

Lasiet nodošanu kā pakalpojuma līgumu

Pierakstiet piecas vērtības pirms laboratorijas maršrutētāja aizskaršanas: piešķirto saskarnes adresi, prefiksa garumu, nākamo lēcienu, galamērķa adresi, ko izmantos ārējie klienti, un precīzu protokolu un portu. Interesantākais ir galamērķis, jo tas var būt pavisam cita adrese, kas nav konfigurēta jūsu ierīcē. Ja augšējā mala sagaida, ka klienti sasniegs pārtulkotu adresi, vietējam DNAT jāatbilst šim līgumam, nevis jūsu redzamajai saskarnes adresei.

IETF diskusija par ugunsmūra uzvedību ir noderīgs atgādinājums, ka filtrēšana un tulkošana ir atsevišķas funkcijas. Tā skaidro, kāpēc maršrutētājs var ieviest ieejas politiku, neslēpjot adreses, un kāpēc NAT kaut kur augšup nevis pierāda, ka filtrēšana notiek tieši tur. Uztveriet nodošanu kā pakalpojuma aprakstu ar īpašnieku un izmaiņu procesu.

Novērojiet vienu mēģinājumu abās robežās

Viens šaurs, apstiprināts mēģinājums, kas korelēts divos punktos, aizstāj minējumu kaudzi. Palaidiet uztveršanu laboratorijas WAN saskarnē precīzajai kortežai un palūdziet augšējās malas īpašniekam novērot to pašu kortežu malā. Turiet galamērķi, protokolu, portu, avotu un laika zīmogu identiskus abos skatos.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Lasiet rezultātu pāri kā lēmumu. Redzēts malā un redzēts laboratorijas WAN nozīmē, ka gan piegāde, gan malas politika iztur, tāpēc turpiniet ar klausītāju vai DNAT. Redzēts malā, bet ne laboratorijas WAN norāda uz piegādi vai starpposma politiku, un nākamais zvans ir augšējās malas īpašniekam. Nekur neredzēts nozīmē, ka testa korteža, avots vai ceļš ir nepareizi vēl pirms jebkura ugunsmūra jautājuma.

Pierādījumu trūkums vienā uztveršanā nav ugunsmūra pierādījums. Tas ir robežas rezultāts, kas pasaka, kuru ierīci pārbaudīt tālāk.

Neļaujiet vietējam NAT paslēpt atbildi

Vietējais noteikums kļūst interesants tikai pēc ieejas apstiprināšanas. Apstipriniet, ka DNAT mērķis ir VPN klausītāja faktiskā adrese un ports, ka pāradresēšana ir iespējota attiecīgajai saimei un ka atbilde iziet pa saskarni, pa kuru ieradās pieprasījums. Noteikums, kas pārraksta galamērķi, bet ne atgriešanās ceļu, rada tādu pašu noildzi kā nomests pakets.

Izmeklēšanas laikā saglabājiet porta drošību un ražošanas nodošanu. Maršrutētāja nomaiņa vai tā MAC adreses viltošana, lai apietu pievienošanas kontroli, apmaina diagnostiku pret pārtraukumu. Spoguļa ports vai apstiprināts uztvērums dod tādu pašu redzamību, neatvienojot pakalpojumus, kas dala saiti.

Pabeidziet ar īpašumtiesību karti: galamērķis, piegādājošā ierīce, filtrējošā ierīce, laboratorijas ieeja un klausītājs. Šī karte padara nākamo porta pāradresēšanas pārskatu mazu, un tā neko neautentificē par pašu VPN.