Да се препрати сѐ на еден домаќин или да се препише и портата?

Препраќањето на сѐ кон вашиот VPN сервер може да опишува две многу различни правила. Едното ја менува целната адреса и ја задржува влезната порта; другото ја препишува и портата на еден единствен слушател. Изложеноста не е иста, а одлуката зависи од три услови, а не од ознаката што ја користи интерфејсот на рутерот.

Прв услов: кои полиња ги менува правилото?

Преводот на целната адреса и преводот на целната порта се одделни операции. Правилото може да ја изврши само првата или двете заедно, а разликата одредува кои услуги на целниот домаќин се достапни. Повеќето интерфејси на производителите го кријат тој избор зад една ознака. Читањето на основното правило е единствениот начин да се знае кое го добивте.

Читајте го вистинското правило, а не ознаката во менито. Екранот што вели DMZ или сите порти опишува намера, а не патека на пакет. Документацијата на Netfilter NAT ги одделува двата превода и тоа е вистинскиот мисловен модел дури и кога рутерот пред вас е потрошувачки уред.

Две полиња, две различни прашања.

Втор услов: што слуша на задржаните порти?

Ако правилото ја задржи влезната порта, секоја порта што пристигнува се доставува до истиот број на домаќинот VPN, во согласност со влезната политика на тој домаќин. Тоа вклучува услуги за кои можеби сте заборавиле дека слушаат. Правилото не ги создаде тие услуги и сега тоа е патот до нив.

Ако правилото ја препишува портата, се случува спротивното: многу надворешни порти се спојуваат на еден слушател и ништо друго на домаќинот не е достапно преку тоа правило. Препишувањето на фиксна порта не станува пристап до секоја локална услуга само затоа што широк опсег надворешни порти се совпаднал со него. Двата дизајна пропаѓаат во различни насоки, а режимот на откажување е она што го избирате. Изберете го оној со чие откажување можете да живеете.

Направете попис на слушателот пред да изберете.

Трет услов: колку е широк надворешниот влез?

Објавувањето на една избрана порта е потесно од објавувањето опсег и двете се потесни од прифаќањето на сѐ. Надворешната ширина и внатрешниот превод се независни избори, а повеќето забуни доаѓаат од менување на едното додека се опишува другото.

За обичен влез VPN, објавете го транспортот и слушателот што дизајнот навистина ги бара. Потоа прегледајте уште три работи: ефективното мапирање на рутерот, сопствените влезни правила на целниот домаќин и дали слушател IPv6 ја објавува истата услуга. Правило што изгледа тесно во една фамилија адреси може да биде широко во другата.

Запишете ја преведената крајна точка целосно: протокол, надворешна порта, внатрешна адреса, внатрешна порта.

Што не ви дава ниту едно правило

Ниту еден од двата дизајна не докажува дека услугата е слободна од ранливости и ниту еден не ја штити достапноста. Автентикацијата, ажурирањата и обновувањето остануваат во опсегот без оглед на тоа колку е тесно мапирањето на портите. Тесното мапирање ја намалува достапната површина; тоа не го прави слушателот безбеден.

Широко правило што веќе поддржува друга законска услуга е зависност, а не само грешка. Направете попис и заменете го преку неговиот сопственик пред да го отстраните, инаку промената ќе изгледа како прекин предизвикан од безбедносна исправка. Истото внимание важи и за препишување на фиксна порта на која нешто друго тивко се потпира.

Анализата на изложеност се однесува на тоа што може да стигне до што, а не на ознаката на екранот.

Одлучете со преведената крајна точка во рака

Запишете го резултатот од правилото како реченица: јавната порта UDP X стигнува до адресата Y порта Z. Потоа прашајте кои услуги на Y можат да одговорат на Z и кому му припаѓаат.

nft list ruleset

Ако одговорот е тој еден слушател што го наменивте, правилото ја врши својата работа.

Ако одговорот е неколку, сте избрале препраќање на целиот домаќин, без оглед дали интерфејсот го нарекол така или не.