Ir-router upstream verament iwassal il-portijiet VPN deħlin?

Tliet kundizzjonijiet jiddeċiedu jekk forwarding tal-port fuq ir-router tal-laboratorju jippubblikax xi ħaġa: x'jibgħat ix-xifer upstream, liema politika japplika, u jekk it-tweġibiet jiġux lura mill-istess triq. Indirizz li jidher pubbliku ma jwieġeb lil ħadd minnhom. Lanqas prefiss /30 jew konnessjoni ħierġa li taħdem. Irranġa dawn il-kundizzjonijiet qabel tibdel in-NAT, inkella r-regola lokali tidher miksura waqt li l-blokk jinsab żewġ qabżiet 'il bogħod.

Tliet tweġibiet jiddeċiedu lil min tescala

Is-sid tax-xifer upstream jista' jiddeskrivi l-konsenja b'wieħed minn tliet modi. Id-destinazzjoni titwassal direttament lill-interface tiegħek, prefiss separat jiġi routed lejn il-qabża li jmiss tiegħek, jew xi ħaġa quddiem tittraduċi l-indirizz qabel ma jasal għandek. Kull tweġiba ssemmi apparat differenti li għandu jippermetti l-konnessjoni deħla, u tim differenti li għandu jiġi msejjaħ meta dan ma jiġrix.

Il-filtrazzjoni hija r-raba' varjabbli u hija indipendenti mit-tlieta kollha. Netwerk jista' jiffiltra traffiku li jżomm l-indirizz pubbliku tiegħu, u traduttur mhuwiex awtomatikament il-konfini tal-politika. Staqsi dwar l-indirizzi tas-sors, it-trasport u l-portijiet permessi fl-istess ħin mal-konsenja, għax port forward li x-xifer jitlaq qatt ma jasal għar-regola tiegħek.

Aqra l-konsenja bħala kuntratt tas-servizz

Ikteb ħames valuri qabel ma tmiss ir-router tal-laboratorju: l-indirizz tal-interface assenjat, it-tul tal-prefiss, il-qabża li jmiss, l-indirizz tad-destinazzjoni li se jużaw il-klijenti esterni, u l-protokoll u l-port eżatti. Id-destinazzjoni hija dik interessanti, għax forsi mhuwiex indirizz ikkonfigurat fuq l-apparat tiegħek xejn. Jekk ix-xifer upstream jistenna li l-klijenti jilħqu indirizz tradott, id-DNAT lokali għandu jaqbel ma' dak il-kuntratt u mhux mal-indirizz tal-interface li tara.

Id-diskussjoni tal-IETF dwar l-imġiba tal-firewall hija tfakkira utli li l-filtrazzjoni u t-traduzzjoni huma funzjonijiet separati. Tispjega għaliex router jista' jinfurza politika tad-dħul mingħajr ma jaħbi l-indirizzi, u għaliex NAT xi mkien upstream ma jipprovax li l-filtrazzjoni sseħħ hemm. Ittratta l-konsenja bħala deskrizzjoni ta' servizz b'sid u proċess ta' bidla.

Osserva tentattiv wieħed fiż-żewġ konfini

Tentattiv wieħed dejjaq u approvat, korrelat f'żewġ punti, jieħu post munzell ta' suppożizzjonijiet. Mexxi qabda fuq l-interface WAN tal-laboratorju għat-tuple eżatt, u itlob lis-sid upstream josserva l-istess tuple fix-xifer. Żomm destinazzjoni, protokoll, port, sors u timbru tal-ħin identiċi bejn iż-żewġ veduti.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Aqra l-par riżultati bħala deċiżjoni. Jidher fix-xifer u jidher fuq il-WAN tal-laboratorju jfisser li kemm il-konsenja kif ukoll il-politika tax-xifer jgħaddu, għalhekk kompli bis-semmiegħ jew bid-DNAT. Jidher fix-xifer iżda mhux fuq il-WAN tal-laboratorju jindika l-konsenja jew politika intermedja, u t-telefonata li jmiss hija lis-sid upstream. Ma jidhirx imkien ifisser li t-tuple tat-test, is-sors jew it-triq huma ħżiena qabel kwalunkwe mistoqsija dwar il-firewall.

In-nuqqas ta' evidenza f'qabda waħda mhuwiex prova ta' firewall. Huwa riżultat tal-konfini li jgħidlek liema apparat għandek tispezzjona wara.

Tħallix lin-NAT lokali jaħbi t-tweġiba

Ir-regola lokali ssir interessanti biss wara li d-dħul jiġi kkonfermat. Ikkonferma li l-mira tad-DNAT hija l-indirizz u l-port reali tas-semmiegħ VPN, li l-forwarding huwa attivat għall-familja rilevanti, u li t-tweġiba toħroġ mill-interface li biha wasal it-talba. Regola li terġa' tikteb id-destinazzjoni iżda mhux it-triq tal-mixi lura tipproduċi l-istess timeout bħal pakkett mitfugħ.

Żomm is-sigurtà tal-port u l-konsenja tal-produzzjoni waqt li tinvestiga. Is-sostituzzjoni tar-router jew il-falsifikazzjoni tal-indirizz MAC tiegħu biex tevita l-kontrolli tal-attakkament tbiddel dijanjosi ma' waqfien. Port tal-mera jew qabda approvata jagħti l-istess viżibilità mingħajr ma jaqta' servizzi li jaqsmu l-link.

Iffinalizza bil-mappa tas-sjieda: destinazzjoni, apparat li jwassal, apparat li jiffiltra, id-dħul tal-laboratorju u s-semmiegħ. Dik il-mappa tagħmel ir-reviżjoni li jmiss tal-forwarding tal-portijiet żgħira, u ma tawtentikax xejn dwar il-VPN innifsu.