Бүгдийг нэг хост руу дамжуулах уу, эсвэл портыг ч дахин бичих үү?

Бүгдийг VPN сервер рүүгээ дамжуулах нь маш өөр хоёр дүрмийг тодорхойлж болно. Нэг нь очих хаягийг өөрчилж, ирж буй портыг хадгална; нөгөө нь портыг нэг сонсогч руу дахин бичнэ. Өртөлт ижил биш бөгөөд шийдвэр нь маршруулагчийн интерфейсийн ашигладаг шошгоноос биш, гурван нөхцөлөөс хамаарна.

Эхний нөхцөл: дүрэм ямар талбарыг өөрчилдөг вэ?

Очих хаягийн орчуулга ба очих портын орчуулга нь тусдаа үйлдэл юм. Дүрэм зөвхөн эхнийхийг эсвэл хоёуланг нь хамт гүйцэтгэж болох бөгөөд ялгаа нь зорилтот хост дээр ямар үйлчилгээ хүрч болохыг тодорхойлно. Ихэнх үйлдвэрлэгчийн интерфейс энэ сонголтыг нэг шошгоны ард нуудаг. Үндсэн дүрмийг унших нь аль нэгийг авснаа мэдэх цорын ганц арга юм.

Цэсний шошгыг биш, бодит дүрмийг уншина уу. DMZ эсвэл бүх порт гэж бичсэн дэлгэц нь санаа бодлыг дүрсэлдэг, пакетийн замыг биш. Netfilter NAT баримт бичиг хоёр орчуулгыг тусгаарладаг бөгөөд урд талын маршруулагч хэрэглэгчийн төхөөрөмж байсан ч энэ нь зөв сэтгэлгээний загвар юм.

Хоёр талбар, хоёр өөр асуулт.

Хоёр дахь нөхцөл: хадгалсан портуудад юу сонсож байна вэ?

Хэрэв дүрэм ирж буй портыг хадгалбал, ирж буй порт бүр VPN хост дээрх ижил дугаар руу хүргэгдэх бөгөөд тухайн хостийн орох бодлогод захирагдана. Үүнд сонсож байгааг нь мартсан үйлчилгээнүүд ч багтана. Дүрэм тэдгээр үйлчилгээг үүсгээгүй бөгөөд одоо тэр нь тэдэн рүү хүрэх зам юм.

Хэрэв дүрэм портыг дахин бичвэл эсрэгээрээ болно: олон гадаад порт нэг сонсогч руу нийлж, хост дээр өөр юу ч тэр дүрмээр хүрч болохгүй. Тогтмол порт руу дахин бичих нь гадаад портын өргөн хүрээ түүнд тохирсон учраас л орон нутгийн бүх үйлчилгээнд хандах эрх болохгүй. Хоёр загвар өөр чиглэлд бүтэлгүйтдэг бөгөөд таны сонгож буй зүйл бол бүтэлгүйтлийн горим юм. Бүтэлгүйтлийг нь тэвчиж чадахыг сонгоорой.

Сонгохоос өмнө сонсогчийн бүртгэл хийгээрэй.

Гурав дахь нөхцөл: гадаад орц хэр өргөн бэ?

Сонгосон нэг портыг нийтлэх нь хүрээг нийтлэхээс нарийн бөгөөд хоёулаа бүгдийг хүлээн авахаас нарийн. Гадаад өргөн ба дотоод орчуулга нь бие даасан сонголт бөгөөд ихэнх төөрөгдөл нэгийг өөрчилж нөгөөг тайлбарлахаас үүсдэг.

Энгийн VPN орцын хувьд загварт үнэхээр хэрэгтэй тээвэрлэлт болон сонсогчийг нийтэлнэ үү. Дараа нь өөр гурван зүйлийг шалгана уу: маршруулагчийн үр дүнтэй зураглал, зорилтот хостийн өөрийн орох дүрэм, IPv6 сонсогч ижил үйлчилгээг нийтэлж байгаа эсэх. Нэг хаягийн гэр бүлд нарийн харагдах дүрэм нөгөөд нь өргөн байж болно.

Орчуулсан төгсгөлийн цэгийг бүрэн бичнэ үү: протокол, гадаад порт, дотоод хаяг, дотоод порт.

Аль ч дүрэм танд өгөхгүй зүйл

Хоёр загварын аль нь ч үйлчилгээ эмзэг байдлаас ангид гэдгийг нотолдоггүй бөгөөд аль нь ч хүртээмжийг хамгаалдаггүй. Баталгаажуулалт, шинэчлэлт, сэргээлт нь портын зураглал хэр нарийн байснаас үл хамааран хүрээнд үлддэг. Нарийн зураглал нь хүрч болох гадаргууг багасгадаг; энэ нь сонсогчийг аюулгүй болгодоггүй.

Өөр хууль ёсны үйлчилгээг аль хэдийн дэмжиж буй өргөн дүрэм бол зүгээр л алдаа биш, хамаарал юм. Бүртгэл хийж, устгахаас өмнө эзэмшигчээр нь дамжуулан солино уу, эс бөгөөс өөрчлөлт аюулгүй байдлын засвараас үүдсэн тасалдал мэт харагдах болно. Мөн адил болгоомжлол нь өөр зүйл чимээгүй найдаж буй тогтмол порт руу дахин бичихэд хамаарна.

Өртөлтийн шинжилгээ нь юу юунд хүрч болох тухай бөгөөд дэлгэц дээрх шошгоны тухай биш.

Орчуулсан төгсгөлийн цэгийг гартаа барьж шийдээрэй

Дүрмийн үр дүнг өгүүлбэрээр бичнэ үү: нийтийн UDP порт X нь Y хаягийн Z порт руу хүрнэ. Дараа нь Y дээр ямар үйлчилгээнүүд Z-д хариулж чадах, тэдний эзэн хэн бэ гэж асуугаарай.

nft list ruleset

Хэрэв хариулт нь таны зорьсон тэр нэг сонсогч бол дүрэм ажлаа хийж байна.

Хэрэв хариулт хэд хэдэн байвал интерфейс үүнийг тэгж нэрлэсэн эсэхээс үл хамааран та бүх хост руу дамжуулахыг сонгосон байна.