Port OpenVPN wieħed, tliet servizzi: għaliex il-portijiet interni huma importanti

Tunnel wieħed, tliet servizzi, port pubbliku wieħed. Issepara l-listener VPN ta' barra mill-portijiet tal-applikazzjoni ta' ġewwa, imbagħad ittestja kull permess intern waħdu.

Sessjoni SSH waħda, app web waħda u tfittxija waħda tal-isem jistgħu jaqsmu konnessjoni VPN waħda mingħajr ġlieda fuq il-portijiet. Il-klijent jibni fluss encrypted wieħed lejn il-gateway, u kull konversazzjoni tal-applikazzjoni tivvjaġġa ġewwa fih. Barra, jidher biss it-trasport u l-port tat-tunnel innifsu. Ġewwa, kull servizz iżomm il-port tiegħu u xorta jeħtieġ il-permess tiegħu.

X'jġorr il-fluss ta' barra, u x'jaħbi

Il-klijent ikebweb kull packet fit-trasport tat-tunnel qabel ma joħroġ mill-magna. Dak il-fluss ta' barra għandu port destinazzjoni wieħed, fiss meta l-VPN ġie kkonfigurat. Ġewwa l-involukru, kull packet oriġinali jżomm l-indirizz u l-port tas-servizz li jimmira lejh. Il-gateway ineħħi l-involukru u jirrotta fuq l-intestatura interna, sabiex id-destinazzjoni tara klijent ordinarju li jasal min-netwerk.

Għalhekk qabda fuq l-interface WAN turi konversazzjoni waħda, mhux tlieta. Il-portijiet interni jidhru biss wara d-dekapsulazzjoni. Għalhekk fetħa waħda tal-firewall tista ġġorr SSH, HTTPS u DNS fl-istess ħin.

# WAN side: one outer tuple, whatever the inner services are
tcpdump -ni wan0 'udp port 443'
# tunnel side: the inner tuples appear after decapsulation
tcpdump -ni tun0

Id-dokumentazzjoni TUN/TAP tkopri l-konsenja fejn apparat TUN bir-rotot jgħaddi packets IP bejn il-kernel u proċess fl-ispazju tal-utent. Dik il-konsenja hija li tagħmel l-intestatura interna viżibbli għall-kodiċi tar-rotot u tal-firewall tal-gateway. Hija wkoll tispjega għaliex il-port ta' barra ma jgħid xejn dwar liema servizzi huma permessi.

Il-forward NAT jappartjeni lill-listener, mhux lill-applikazzjonijiet

Gateway self-hosted wara NAT IPv4 jeħtieġ traduzzjoni waħda tal-input: l-indirizz pubbliku u l-port immappjati mal-listener VPN. Ebda regola mhi meħtieġa għal SSH, HTTPS jew DNS sempliċement għax l-utenti tat-tunnel jilħquhom. Li tippubblika dawk il-portijiet jesponi servizzi li t-tunnel diġà jipproteġi. Ir-regola tal-forward tiddeskrivi l-aċċessibbiltà tal-listener, mhux permess għal xi ħaġa ġewwa.

Il-kuntrarju jgħodd ukoll. Il-ftuħ tal-port tat-tunnel ma jesponi xejn ieħor, għalhekk servizz li jintlaħaq biss mit-tunnel iżomm il-wiċċ pubbliku tiegħu magħluq. Dik is-separazzjoni hija normalment ir-raġuni biex is-servizz jinżamm privat.

Il-politika interna hija fejn l-aċċess fil-fatt jiġi deċiż

L-encryption tipproteġi t-triq; ma tawtorizzax destinazzjoni. Ir-rotot tal-klijent jagħżlu liema prefissi jidħlu fit-tunnel, il-politika tal-forward tal-gateway tiddeċiedi jekk il-packets jistgħux joħorġu minnu, u l-firewall tad-destinazzjoni flimkien mal-login jiddeċiedu jekk is-servizz iwieġeb. DNS huwa l-aktar każ ċar: li ġġorr mistoqsijiet ma jagħmilx resolver jaċċettahom mill-pool tal-klijenti tiegħek. Kull saff jista jgħid le b'mod indipendenti.

Ittestja kull servizz waħdu mit-tunnel. Tfittxija li tirnexxi ma tgħid xejn dwar il-port web, u talba web li tirnexxi ma tgħid xejn dwar SSH.

dig @10.40.0.53 app.corp.example
nc -vz 10.40.0.10 8443
ssh -p 2222 [email protected]

Meta t-tunnel ikun attiv u kollox jonqos, aqra l-ewwel it-tabella tar-rotot tal-klijent. Meta servizz wieħed jonqos filwaqt li oħrajn jaħdmu, il-ħsara tinsab f'dik id-destinazzjoni. Dawn iż-żewġ osservazzjonijiet jindikaw sidien differenti, u li tħallathom tħalli l-ħin.

WireGuard iġib l-istess linja

WireGuard isemmi l-listener ta' barra tiegħu b' ListenPort, u applikazzjoni interna xorta tuża l-port tas-servizz li teħtieġ. AllowedIPs hija sett ta' prefissi bir-rotot, mhux lista ta' portijiet tas-servizzi permessi. Li taqrah bħala allowlist tal-portijiet jipproduċi regoli li ma jaqblux ma' dak li jagħmel it-tunnel. L-isem huwa differenti; is-saffi mhumiex.

Ippermetti s-servizz fil-politika tal-input lokali meta jkun qed jaħdem fuq il-host innifsu, jew fil-politika tal-forward meta jkun wara dak il-host. Id-distinzjoni tiddeċiedi liema sett ta regoli jara l-packet.

Il-forma ġenerali hija trasport wieħed ta' barra b'ħafna konversazzjonijiet interni. Prodotti li jeħtieġu diversi skambji ta' barra, jew protokoll IP differenti, huma tfakkira li l-mudell ta' port pubbliku wieħed jiddeskrivi dan id-disinn u mhux kull VPN.

Artikli relatati