Дээд чиглэлийн чиглүүлэгч орох VPN портуудыг үнэхээр хүргэж чадах уу?

Лабораторийн чиглүүлэгч дээрх портын дамжуулалт ямар нэг зүйл нийтлэх эсэхийг гурван нөхцөл шийднэ: дээд ирмэг юу хүргэдэг, ямар бодлого хэрэгжүүлдэг, хариултууд ижил замаар буцаж ирдэг эсэх. Нийтийн мэт харагдах хаяг тэдгээрийн алинд ч хариулдаггүй. /30 префикс эсвэл ажиллаж буй гарах холболт ч мөн адил. NAT-ыг өөрчлөхөөс өмнө эдгээр нөхцөлийг эрэмбэлээрэй, эс тэгвээс блок хоёр үсрэлтийн зайд байхад локал дүрэм эвдэрсэн мэт харагдана.

Гурван хариулт хэнд эскалац хийхээ шийднэ

Дээд ирмэгийн эзэн дамжуулалтыг гурвын нэг аргаар тайлбарлаж болно. Очих газар шууд таны интерфейс рүү хүргэгдэнэ, тусдаа префикс таны дараагийн үсрэлт рүү чиглүүлэгдэнэ, эсвэл урд талд ямар нэгэн зүйл хаягийг танд хүрэхээс өмнө хөрвүүлнэ. Хариулт бүр орох холболтыг зөвшөөрөх ёстой өөр төхөөрөмж, мөн ийм зүйл болохгүй үед холбоо барих өөр багийг нэрлэнэ.

Шүүлт нь дөрөв дэх хувьсагч бөгөөд гурвуулаас хамааралгүй. Сүлжээ нь нийтийн хаягаа хадгалсан урсгалыг шүүж болох бөгөөд орчуулагч автоматаар бодлогын хил болохгүй. Зөвшөөрөгдсөн эх хаяг, тээвэр, портын талаар хүргэлттэй зэрэг асуугаарай, учир нь ирмэг унагасан дамжуулсан порт таны дүрэмд хэзээ ч хүрэхгүй.

Дамжуулалтыг үйлчилгээний гэрээ гэж уншаарай

Лабораторийн чиглүүлэгчид хүрэхээс өмнө таван утгыг тэмдэглээрэй: олгогдсон интерфейсийн хаяг, префиксийн урт, дараагийн үсрэлт, гадаад хэрэглэгчдийн ашиглах очих хаяг, яг протокол ба порт. Сонирхолтой нь очих газар, учир нь энэ нь таны төхөөрөмж дээр тохируулсан хаяг огт байхгүй байж болно. Хэрэв дээд ирмэг хэрэглэгчид хөрвүүлсэн хаягт хүрнэ гэж хүлээж байвал локал DNAT тэр гэрээнд нийцэх ёстой, таны харж буй интерфейсийн хаягт биш.

IETF-ийн галт хананы зан төлөвийн хэлэлцүүлэг нь шүүлт ба орчуулга тусдаа функц гэдгийг сануулдаг. Чиглүүлэгч хаягийг нуухгүйгээр орох бодлогыг хэрхэн хэрэгжүүлж болох, мөн дээр хаа нэгтээ NAT байх нь шүүлт яг тэнд явагддагийг нотлохгүй гэдгийг тайлбарладаг. Дамжуулалтыг эзэн, өөрчлөлтийн процесс бүхий үйлчилгээний тодорхойлолт гэж үзээрэй.

Хоёр хил дээр нэг оролдлогыг ажиглаарай

Хоёр цэгт корреляцлагдсан нэг нарийн, зөвшөөрөгдсөн оролдлого таамаглалын бөөмийг орлоно. Яг tuple-ийн хувьд лабораторийн WAN интерфейс дээр барилт ажиллуулж, дээд ирмэгийн эзнээс мөнөөх tuple-ийг ирмэг дээр ажиглахыг хүсээрэй. Очих газар, протокол, порт, эх сурвалж, цагийн тэмдгийг хоёр харагдацад ижил байлгаарай.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Үр дүнгийн хосыг шийдвэр гэж уншаарай. Ирмэг дээр харагдаж, лабораторийн WAN дээр харагдсан нь хүргэлт ба ирмэгийн бодлого хоёулаа давсан гэсэн үг тул сонсогч эсвэл DNAT-аар үргэлжлүүлээрэй. Ирмэг дээр харагдаж, лабораторийн WAN дээр харагдаагүй нь хүргэлт эсвэл завсрын бодлогыг заана, дараагийн дуудлага дээд ирмэгийн эзэнд. Хаана ч харагдаагүй нь галт хананы асуултаас өмнө л тестийн tuple, эх сурвалж эсвэл зам буруу гэсэн үг.

Нэг барилтад нотолгоо байхгүй байх нь галт хананы нотолгоо биш. Энэ нь дараа нь ямар төхөөрөмжийг шалгахыг хэлдэг хилийн үр дүн.

Локал NAT хариултыг нуухыг бүү зөвшөөр

Локал дүрэм нэвтрэлт батлагдсаны дараа л сонирхолтой болно. DNAT-ийн зорилт нь VPN сонсогчийн бодит хаяг ба порт, холбогдох гэр бүлд дамжуулалт идэвхтэй, хариулт нь хүсэлт ирсэн интерфейсээр гарч байгааг баталгаажуулаарай. Очих газрыг дахин бичих боловч буцах замыг бичихгүй дүрэм нь унасан пакеттай ижил хугацаа хэтэрхийг үүсгэдэг.

Шалгах явцад портын аюулгүй байдал, үйлдвэрлэлийн дамжуулалтыг хадгалаарай. Холболтын хяналтыг тойрохын тулд чиглүүлэгчийг солих эсвэл MAC хаягийг нь хуурамчаар үйлдэх нь оношилгоог тасалдалаар солино. Толь порт эсвэл зөвшөөрөгдсөн барилт нь холбоосыг хуваалцдаг үйлчилгээг салгахгүйгээр ижил харагдах байдлыг өгдөг.

Эзэмшлийн газрын зургаар дуусгаарай: очих газар, хүргэгч төхөөрөмж, шүүгч төхөөрөмж, лабораторийн нэвтрэлт, сонсогч. Энэ зураг дараагийн портын дамжуулалтын хяналтыг жижиг болгодог бөгөөд VPN-ийн талаар юу ч баталгаажуулдаггүй.