Adakah penghala huluan benar-benar menyampaikan port VPN masuk?

Tiga syarat menentukan sama ada pemajuan port pada penghala makmal menerbitkan apa-apa: apa yang disampaikan tepi huluan, dasar apa yang diterapkannya, dan sama ada balasan kembali melalui laluan yang sama. Alamat yang kelihatan awam tidak menjawab satu pun daripadanya. Begitu juga awalan /30 atau sambungan keluar yang berfungsi. Susun syarat itu sebelum menukar NAT, jika tidak peraturan tempatan akan kelihatan rosak sedangkan sekatan berada dua hop jauhnya.

Tiga jawapan menentukan kepada siapa anda mengeskalasi

Pemilik huluan boleh menerangkan penyerahan itu dalam salah satu daripada tiga cara. Destinasi dihantar terus ke antara muka anda, awalan berasingan dihalakan ke hop seterusnya, atau sesuatu di hadapan menterjemah alamat sebelum ia sampai kepada anda. Setiap jawapan menamakan peranti berbeza yang mesti membenarkan sambungan masuk, dan pasukan berbeza yang perlu dihubungi apabila ia tidak berbuat demikian.

Penapisan ialah pemboleh ubah keempat dan ia bebas daripada ketiga-tiganya. Rangkaian boleh menapis trafik yang mengekalkan alamat awamnya, dan penterjemah bukan secara automatik sempadan dasar. Tanya tentang alamat sumber, pengangkutan dan port yang dibenarkan serentak dengan penghantaran, kerana port yang dimajukan dan digugurkan tepi tidak pernah sampai kepada peraturan anda.

Baca penyerahan sebagai kontrak perkhidmatan

Catat lima nilai sebelum menyentuh penghala makmal: alamat antara muka yang diberikan, panjang awalan, hop seterusnya, alamat destinasi yang akan digunakan oleh klien luar, serta protokol dan port yang tepat. Destinasi ialah yang menarik, kerana ia mungkin bukan alamat yang dikonfigurasikan pada peranti anda langsung. Jika huluan menjangka klien mencapai alamat terjemahan, DNAT tempatan mesti sepadan dengan kontrak itu, bukan dengan alamat antara muka yang anda lihat.

Perbincangan IETF tentang tingkah laku tembok api ialah peringatan berguna bahawa penapisan dan terjemahan ialah fungsi berasingan. Ia menerangkan mengapa penghala boleh menguatkuasakan dasar masuk tanpa menyembunyikan alamat, dan mengapa NAT di sesuatu tempat di huluan tidak membuktikan penapisan berlaku di sana. Anggap penyerahan sebagai penerangan perkhidmatan dengan pemilik dan proses perubahan.

Perhati satu cubaan di kedua-dua sempadan

Satu cubaan sempit yang diluluskan dan dikorelasikan pada dua titik menggantikan timbunan tekaan. Jalankan tangkapan pada antara muka WAN makmal untuk tuple yang tepat, dan minta pemilik huluan memerhati tuple yang sama di tepi. Kekalkan destinasi, protokol, port, sumber dan cap masa sama antara kedua-dua paparan.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Baca pasangan hasil sebagai keputusan. Dilihat di tepi dan dilihat pada WAN makmal bermaksud penghantaran dan dasar tepi kedua-duanya lulus, jadi teruskan dengan pendengar atau DNAT. Dilihat di tepi tetapi tidak pada WAN makmal menunjuk kepada penghantaran atau dasar perantaraan, dan panggilan seterusnya ialah pemilik huluan. Tidak dilihat di mana-mana bermaksud tuple ujian, sumber atau laluan itu salah sebelum sebarang soalan tembok api.

Ketiadaan bukti dalam satu tangkapan bukan bukti tembok api. Ia hasil sempadan yang memberitahu anda peranti mana untuk diperiksa seterusnya.

Jangan biarkan NAT tempatan menyembunyikan jawapan

Peraturan tempatan hanya menjadi menarik selepas ingress disahkan. Sahkan bahawa sasaran DNAT ialah alamat dan port sebenar pendengar VPN, pemajuan diaktifkan untuk keluarga yang berkaitan, dan balasan keluar melalui antara muka tempat permintaan tiba. Peraturan yang menulis semula destinasi tetapi bukan laluan pulangan menghasilkan masa tamat yang sama seperti paket yang digugurkan.

Kekalkan keselamatan port dan penyerahan pengeluaran semasa anda menyiasat. Menggantikan penghala atau memalsukan alamat MAC-nya untuk memintas kawalan sambungan menukar diagnostik dengan gangguan. Port cermin atau tangkapan yang diluluskan memberikan keterlihatan yang sama tanpa memutuskan perkhidmatan yang berkongsi pautan.

Akhiri dengan peta pemilikan: destinasi, peranti penyampai, peranti penapis, ingress makmal dan pendengar. Peta itu menjadikan semakan pemajuan port seterusnya kecil, dan ia tidak mengesahkan apa-apa tentang VPN itu sendiri.