Дали навистина горниот рутер ги доставува влезните VPN порти?

Три услови одлучуваат дали преусмерувањето на порта на лабораторискиот рутер ќе објави нешто: што доставува горниот раб, каква политика применува и дали одговорите се враќаат по истиот пат. Адресата што изгледа јавно не одговара на ниту еден од нив. Ниту префиксот /30, ниту работна излезна врска. Подредете ги тие услови пред да го смените NAT, инаку локалното правило ќе изгледа расипано додека блокот стои два скока подалеку.

Три одговори одлучуваат кон кого да се ескалира

Сопственикот на горниот раб може да го опише предавањето на еден од три начини. Дестинацијата се доставува директно на вашиот интерфејс, посебен префикс се рутира до вашиот следен скок или нешто напред ја преведува адресата пред да стигне до вас. Секој одговор именува различен уред што мора да ја дозволи влезната врска и различен тим што треба да се повика кога тоа не се случи.

Филтрирањето е четвртата променлива и е независно од сите три. Мрежата може да филтрира сообраќај што ја задржува својата јавна адреса, а преведувачот не е автоматски граница на политиката. Прашајте за дозволените изворни адреси, транспорти и порти истовремено со доставата, бидејќи преусмерена порта што раб ја отфрла никогаш не стигнува до вашето правило.

Читајте го предавањето како договор за услуга

Запишете пет вредности пред да го допрете лабораторискиот рутер: доделената адреса на интерфејсот, должината на префиксот, следниот скок, дестинациската адреса што ќе ја користат надворешните клиенти и точниот протокол и порта. Интересна е дестинацијата, бидејќи можеби воопшто не е адреса конфигурирана на вашиот уред. Ако горниот раб очекува клиентите да стигнат до преведена адреса, локалниот DNAT мора да одговара на тој договор, а не на адресата на интерфејсот што ја гледате.

Расправата на IETF за однесувањето на огнениот ѕид е корисно потсетување дека филтрирањето и преведувањето се одделни функции. Таа објаснува зошто рутерот може да спроведе влезна политика без да крие адреси, и зошто NAT некаде горе не докажува дека филтрирањето се случува таму. Третирајте го предавањето како опис на услуга со сопственик и процес на промена.

Набљудувајте еден обид на двете граници

Еден тесен, одобрен обид корелиран во две точки заменува куп претпоставки. Пуштете снимање на WAN интерфејсот на лабораторијата за точниот торка и побарајте од сопственикот на горниот раб да го набљудува истиот торка на работ. Држете ги дестинацијата, протоколот, портата, изворот и временската ознака идентични меѓу двата приказа.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Читајте го парот резултати како одлука. Видено на работ и видено на лабораторискиот WAN значи дека и доставата и политиката на работ поминуваат, затоа продолжете со слушачот или DNAT. Видено на работ но не на лабораторискиот WAN упатува на достава или посредна политика, а следниот повик е до сопственикот на горниот раб. Никаде не видено значи дека тест торката, изворот или патеката се погрешни уште пред било какво прашање за огнен ѕид.

Отсуството на доказ во едно снимање не е доказ за огнен ѕид. Тоа е граничен резултат што ви кажува кој уред да го проверите следно.

Не дозволувајте локалниот NAT да го сокрие одговорот

Локалното правило станува интересно дури откако влезот ќе се потврди. Потврдете дека целта на DNAT е вистинската адреса и порта на VPN слушачот, дека преусмерувањето е овозможено за соодветното семејство и дека одговорот излегува низ интерфејсот по кој пристигна барањето. Правило што ја препишува дестинацијата но не и повратната патека создава исто истекување како отфрлен пакет.

Задржете ја безбедноста на портата и продукциското предавање додека истражувате. Замената на рутерот или фалсификувањето на неговата MAC адреса за да се заобиколи контролата на поврзување разменува дијагностика за прекин. Огледална порта или одобрено снимање дава иста видливост без исклучување на услуги што ја делат врската.

Завршете со карта на сопственост: дестинација, уред што доставува, уред што филтрира, лабораториски влез и слушач. Таа карта го прави следниот преглед на преусмерување на порти мал и не автентицира ништо за самиот VPN.