अपस्ट्रीम राउटर खरोखर इनबाउंड VPN पोर्ट पोहोचवतो का?

लॅब राउटरवरील पोर्ट फॉरवर्ड काही प्रकाशित करेल का हे तीन अटी ठरवतात: अपस्ट्रीम एज काय पोहोचवते, कोणती धोरणे लागू करते, आणि उत्तरे त्याच मार्गाने परत येतात का। सार्वजनिक दिसणारा पत्ता यापैकी कोणालाही उत्तर देत नाही। /30 प्रीफिक्स किंवा कार्यरत आउटबाउंड कनेक्शनही नाही। NAT बदलण्यापूर्वी या अटी लावून घ्या, अन्यथा ब्लॉक दोन हॉप दूर असताना स्थानिक नियम तुटलेला दिसेल।

तीन उत्तरे ठरवतात की तुम्ही कोणाकडे एस्कलेट कराल

अपस्ट्रीम मालक हँड-ऑफ तीनपैकी एका प्रकारे वर्णन करू शकतो। गंतव्य थेट तुमच्या इंटरफेसवर पोहोचवले जाते, वेगळा प्रीफिक्स तुमच्या पुढील हॉपवर राउट केला जातो, किंवा पुढे काहीतरी तुमच्यापर्यंत पोहोचण्यापूर्वी पत्त्याचे भाषांतर करते। प्रत्येक उत्तर इनबाउंड कनेक्शनला परवानगी देणारे वेगळे उपकरण आणि असे न झाल्यास फोन करायचा वेगळा संघ सांगते।

फिल्टरिंग हा चौथा चल आहे आणि तो तीनहीपासून स्वतंत्र आहे। नेटवर्क त्याचा सार्वजनिक पत्ता टिकवणारा रहदारी फिल्टर करू शकते, आणि भाषांतरक स्वयंचलितपणे धोरणाची सीमा नसतो। परवानगी असलेले स्रोत पत्ते, वाहतूक आणि पोर्ट यांबद्दल डिलिव्हरीसोबतच विचारा, कारण एज जो फॉरवर्ड केलेला पोर्ट टाकून देतो तो कधीही तुमच्या नियमापर्यंत पोहोचत नाही।

हँड-ऑफ सेवा करार म्हणून वाचा

लॅब राउटरला स्पर्श करण्यापूर्वी पाच मूल्ये लिहून ठेवा: नियुक्त इंटरफेस पत्ता, प्रीफिक्सची लांबी, पुढील हॉप, बाह्य क्लायंट वापरणारा गंतव्य पत्ता, आणि अचूक प्रोटोकॉल व पोर्ट। मनोरंजक गंतव्य आहे, कारण तो तुमच्या उपकरणावर कॉन्फिगर केलेला पत्ताच नसू शकतो। जर अपस्ट्रीमला अपेक्षा असेल की क्लायंट भाषांतरित पत्त्यापर्यंत पोहोचतील, तर स्थानिक DNAT त्या कराराशी जुळला पाहिजे, तुम्ही पाहत असलेल्या इंटरफेस पत्त्याशी नाही।

IETF ची फायरवॉल-वर्तन चर्चा फिल्टरिंग आणि भाषांतर ही वेगळी कार्ये आहेत याची उपयुक्त आठवण करून देते। राउटर पत्ते न लपवता इनबाउंड धोरण कसे लागू करू शकतो, आणि वर कुठेतरी NAT असणे म्हणजे फिल्टरिंग तिथेच होते असा पुरावा का होत नाही हे ती स्पष्ट करते। हँड-ऑफला मालक आणि बदल प्रक्रिया असलेले सेवा वर्णन माना।

दोन्ही सीमांवर एक प्रयत्न निरीक्षण करा

दोन ठिकाणी सहसंबंधित एक अरुंद, मंजूर प्रयत्न अंदाजांच्या ढिगाला बदलतो। अचूक टपलसाठी लॅबच्या WAN इंटरफेसवर कॅप्चर चालवा, आणि अपस्ट्रीम मालकाला तोच टपल एजवर निरीक्षण करायला सांगा। गंतव्य, प्रोटोकॉल, पोर्ट, स्रोत आणि वेळ-छाप दोन दृश्यांमध्ये समान ठेवा।

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

निकालांची जोडी निर्णय म्हणून वाचा। एजवर दिसले आणि लॅब WAN वर दिसले म्हणजे डिलिव्हरी आणि एज धोरण दोन्ही उत्तीर्ण, म्हणून लिसनर किंवा DNAT सोबत पुढे जा। एजवर दिसले पण लॅब WAN वर नाही याचा अर्थ डिलिव्हरी किंवा मध्यस्थ धोरणाकडे निर्देश, आणि पुढील कॉल अपस्ट्रीम मालकाला। कुठेही न दिसले म्हणजे फायरवॉल प्रश्नापूर्वीच चाचणी टपल, स्रोत किंवा मार्ग चुकीचा आहे।

एका कॅप्चरमध्ये पुराव्याचा अभाव म्हणजे फायरवॉलचा पुरावा नाही। पुढे कोणते उपकरण तपासायचे हे सांगणारा हा सीमेचा निकाल आहे।

स्थानिक NAT ला उत्तर लपवू देऊ नका

इनग्रेसची पुष्टी झाल्यानंतरच स्थानिक नियम मनोरंजक होतो। DNAT लक्ष्य VPN लिसनरचा प्रत्यक्ष पत्ता व पोर्ट आहे, संबंधित कुटुंबासाठी फॉरवर्डिंग सक्षम आहे, आणि उत्तर विनंती आलेल्या इंटरफेसवरूनच बाहेर पडते याची पुष्टी करा। गंतव्य पुन्हा लिहिणारा पण परतीचा मार्ग न लिहिणारा नियम टाकून दिलेल्या पॅकेटसारखाच कालबाह्यता निर्माण करतो।

तपासणी करताना पोर्ट सुरक्षा आणि उत्पादन हँड-ऑफ टिकवा। जोडणी नियंत्रणे टाळण्यासाठी राउटर बदलणे किंवा त्याचा MAC पत्ता बनावट करणे हे निदानाची अदलाबदल बिघाडाशी करते। मिरर पोर्ट किंवा मंजूर कॅप्चर लिंक सामायिक करणाऱ्या सेवा वियोग न करता तीच दृश्यमानता देतो।

मालकीच्या नकाशाने समाप्त करा: गंतव्य, पोहोचवणारे उपकरण, फिल्टर करणारे उपकरण, लॅब इनग्रेस आणि लिसनर। तो नकाशा पुढील पोर्ट-फॉरवर्ड आढावा छोटा करतो, आणि तो VPN बद्दल काहीही प्रमाणित करत नाही।