Memajukan semuanya ke satu hos, atau menulis semula port juga?

Memajukan semuanya ke pelayan VPN anda boleh menerangkan dua peraturan yang sangat berbeza. Satu menukar alamat destinasi dan mengekalkan port masuk; satu lagi menulis semula port itu ke satu pendengar tunggal. Pendedahan tidak sama, dan keputusan bergantung pada tiga syarat, bukan pada label yang digunakan oleh antara muka penghala.

Syarat pertama: medan manakah yang diubah oleh peraturan itu?

Terjemahan alamat destinasi dan terjemahan port destinasi ialah operasi berasingan. Sesuatu peraturan boleh melaksanakan yang pertama sahaja, atau kedua-duanya sekali, dan perbezaannya menentukan perkhidmatan mana pada hos sasaran yang boleh dicapai. Kebanyakan antara muka vendor menyembunyikan pilihan itu di sebalik satu label. Membaca peraturan asas ialah satu-satunya cara untuk mengetahui yang mana anda peroleh.

Baca peraturan sebenar, bukan label menu. Skrin yang tertulis DMZ atau semua port menerangkan niat, bukan laluan paket. Dokumentasi Netfilter NAT memisahkan kedua-dua terjemahan, dan itulah model mental yang betul walaupun penghala di hadapan anda ialah peranti pengguna.

Dua medan, dua soalan berbeza.

Syarat kedua: apa yang mendengar pada port yang dikekalkan?

Jika peraturan mengekalkan port masuk, setiap port yang tiba dihantar ke nombor yang sama pada hos VPN, bergantung pada dasar input hos itu. Ini termasuk perkhidmatan yang mungkin anda terlupa sedang mendengar. Peraturan itu tidak mencipta perkhidmatan tersebut, dan kini ia menjadi laluan kepadanya.

Jika peraturan menulis semula port, yang berlaku ialah sebaliknya: banyak port luar runtuh ke satu pendengar, dan tiada apa-apa lagi pada hos boleh dicapai melalui peraturan itu. Penulisan semula ke port tetap tidak menjadi akses kepada setiap perkhidmatan setempat semata-mata kerana julat port luar yang luas sepadan dengannya. Kedua-dua reka bentuk gagal dalam arah yang berbeza, dan mod kegagalan itulah yang anda pilih. Pilih yang kegagalannya mampu anda tanggung.

Inventori pendengar sebelum anda memilih.

Syarat ketiga: berapa lebarkah pintu masuk luar?

Menerbitkan satu port terpilih lebih sempit daripada menerbitkan julat, dan kedua-duanya lebih sempit daripada menerima segala-galanya. Lebar luar dan terjemahan dalam ialah pilihan bebas, dan kebanyakan kekeliruan timbul daripada menukar satu sambil menerangkan yang lain.

Untuk pintu masuk VPN biasa, terbitkan pengangkutan dan pendengar yang benar-benar diperlukan oleh reka bentuk. Kemudian semak tiga perkara lagi: pemetaan berkesan penghala, peraturan input hos sasaran sendiri, dan sama ada pendengar IPv6 menerbitkan perkhidmatan yang sama. Peraturan yang kelihatan sempit dalam satu keluarga alamat boleh menjadi lebar dalam keluarga yang lain.

Tulis titik akhir yang diterjemahkan dengan lengkap: protokol, port luar, alamat dalam, port dalam.

Apa yang tidak diberikan oleh mana-mana peraturan itu kepada anda

Tiada satu pun daripada kedua-dua reka bentuk membuktikan perkhidmatan itu bebas daripada kelemahan, dan tiada satu pun melindungi ketersediaan. Pengesahan, kemas kini dan pemulihan kekal dalam skop tanpa mengira betapa sempitnya pemetaan port. Pemetaan sempit mengurangkan permukaan yang boleh dicapai; ia tidak menjadikan pendengar selamat.

Peraturan luas yang sudah menyokong perkhidmatan sah lain ialah kebergantungan, bukan sekadar kesilapan. Inventorikan dan gantikannya melalui pemiliknya sebelum membuangnya, jika tidak perubahan itu akan kelihatan seperti gangguan yang disebabkan oleh pembetulan keselamatan. Awas yang sama terpakai kepada penulisan semula port tetap yang secara senyap diharapkan oleh sesuatu yang lain.

Analisis pendedahan ialah tentang apa yang boleh mencapai apa, bukan tentang label pada skrin.

Putuskan dengan titik akhir yang diterjemahkan di tangan

Tulis hasil peraturan sebagai ayat: port UDP awam X mencapai alamat Y port Z. Kemudian tanya perkhidmatan mana di Y yang boleh menjawab pada Z dan siapa pemiliknya.

nft list ruleset

Jika jawapannya ialah satu pendengar yang anda maksudkan, peraturan itu menjalankan tugasnya.

Jika jawapannya beberapa, anda telah memilih pemajuan ke seluruh hos, sama ada antara muka memanggilnya begitu atau tidak.