Tibgħat kollox lil host wieħed, jew terġa' tikteb il-port ukoll?

Li tibgħat kollox lis-server VPN tiegħek jista' jiddeskrivi żewġ regoli differenti ħafna. Waħda tbiddel l-indirizz tad-destinazzjoni u żżomm il-port li jidħol; l-oħra terġa' tikteb il-port ukoll fuq semmiegħ wieħed. L-espożizzjoni mhijiex l-istess, u d-deċiżjoni tiddependi fuq tliet kundizzjonijiet, mhux fuq it-tikketta li tuża l-interface tar-router.

L-ewwel kundizzjoni: liema oqsma tbiddel ir-regola?

It-traduzzjoni tal-indirizz tad-destinazzjoni u t-traduzzjoni tal-port tad-destinazzjoni huma operazzjonijiet separati. Regola tista' twettaq biss l-ewwel waħda, jew it-tnejn flimkien, u d-differenza tiddeċiedi liema servizzi fuq il-host fil-mira huma aċċessibbli. Il-biċċa l-kbira tal-interfaces tal-manifatturi jaħbu dik l-għażla wara tikketta waħda. Li taqra r-regola sottostanti hija l-unika mod kif tkun taf liema waħda ħadt.

Aqra r-regola attwali, mhux it-tikketta tal-menu. Skrin li jgħid DMZ jew il-ports kollha jiddeskrivi intenzjoni, mhux triq tal-pakkett. Id-dokumentazzjoni Netfilter NAT tissepara ż-żewġ traduzzjonijiet, u dak huwa l-mudell mentali tajjeb anki meta r-router quddiemek huwa apparat tal-konsumatur.

Żewġ oqsma, żewġ mistoqsijiet differenti.

It-tieni kundizzjoni: x'inhu jisma' fuq il-ports miżmuma?

Jekk ir-regola żżomm il-port li jidħol, kull port li jasal jitwassal lill-istess numru fuq il-host tal-VPN, soġġett għall-politika tal-input ta' dak il-host. Dan jinkludi servizzi li forsi insejt li kienu qed jisimgħu. Ir-regola ma ħolqotx dawk is-servizzi, u issa hija t-triq lejhom.

Jekk ir-regola terġa' tikteb il-port, jiġri l-oppost: ħafna ports ta' barra jiġġarfu fuq semmiegħ wieħed, u xejn ieħor fuq il-host mhu aċċessibbli permezz ta' dik ir-regola. Kitba mill-ġdid għal port fiss ma ssirx aċċess għal kull servizz lokali biss għax firxa wiesgħa ta' ports ta' barra qablu magħha. Iż-żewġ disinji jfallu fi direzzjonijiet differenti, u l-mod kif jfallu huwa dak li tagħżel. Agħżel dak li tista' tgħix bil-falliment tiegħu.

Agħmel inventarju tas-semmiegħ qabel tagħżel.

It-tielet kundizzjoni: kemm hi wiesgħa d-daħla ta' barra?

Li tippubblika port wieħed magħżul huwa eqreb minn li tippubblika firxa, u t-tnejn huma eqreb minn li taċċetta kollox. Il-wisa' ta' barra u t-traduzzjoni ta' ġewwa huma għażliet indipendenti, u l-biċċa l-kbira tal-konfużjoni tiġi milli tibdel waħda waqt li tiddeskrivi l-oħra.

Għal daħla VPN ordinarja, ippubblika t-trasport u s-semmiegħ li d-disinn verament jeħtieġ. Imbagħad erġa' eżamina tliet affarijiet oħra: il-mapping effettiv tar-router, ir-regoli tal-input tal-host fil-mira stess, u jekk semmiegħ IPv6 jippubblikax l-istess servizz. Regola li tidher dejqa f'familja ta' indirizzi tista' tkun wiesgħa fl-oħra.

Ikteb il-punt tat-tmiem tradott kollu: protokoll, port ta' barra, indirizz ta' ġewwa, port ta' ġewwa.

Dak li l-ebda waħda miż-żewġ regoli ma tagħtik

L-ebda waħda miż-żewġ disinji ma tipprova li s-servizz huwa ħieles minn vulnerabbiltajiet, u l-ebda waħda ma tipproteġi d-disponibbiltà. L-awtentikazzjoni, l-aġġornamenti u l-irkupru jibqgħu fl-ambitu irrispettivament minn kemm huwa dejjaq il-mapping tal-ports. Mapping dejjaq inaqqas il-wiċċ aċċessibbli; ma jagħmilx is-semmiegħ sigur.

Regola wiesgħa li diġà tappoġġja servizz leġittimu ieħor hija dipendenza, mhux biss żball. Agħmel inventarju tagħha u ibdilha permezz tas-sid tagħha qabel tneħħiha, inkella l-bidla tidher bħala waqfien ikkawżat minn tiswija tas-sigurtà. L-istess kawtela tapplika għal kitba mill-ġdid f'port fiss li xi ħaġa oħra tiddependi fuqu bil-kwiet.

L-analiżi tal-espożizzjoni hija dwar x'jista' jilħaq xiex, mhux dwar it-tikketta fuq l-iskrin.

Iddeċiedi bil-punt tat-tmiem tradott f'idejk

Ikteb ir-riżultat tar-regola bħala sentenza: il-port UDP pubbliku X jilħaq l-indirizz Y port Z. Imbagħad staqsi liema servizzi fuq Y jistgħu jwieġbu fuq Z u min jipposjedihom.

nft list ruleset

Jekk it-tweġiba hija s-semmiegħ wieħed li ħsibt għalih, ir-regola qed tagħmel ix-xogħol tagħha.

Jekk it-tweġiba hija diversi, għażilt tibgħat lill-host kollu, kemm jekk l-interface sejħet hekk kif ukoll jekk le.