Videresende alt til én vert eller også skrive om porten?

Videresending av alt til VPN-serveren din kan beskrive to svært forskjellige regler. Den ene endrer målens adresse og beholder den innkommende porten; den andre skriver også om porten til én enkelt lytter. Eksponeringen er ikke den samme, og beslutningen avhenger av tre betingelser, ikke av etiketten grensesnittet på ruteren bruker.

Betingelse én: hvilke felt endrer regelen?

Oversettelse av måladdresse og oversettelse av målport er separate operasjoner. En regel kan utføre bare den første eller begge sammen, og forskjellen avgjør hvilke tjenester på målverten som er tilgjengelige. De fleste leverandørgrensesnitt skjuler dette valget bak én enkelt etikett. Å lese den underliggende regelen er den eneste måten å vite hvilken du fikk.

Les den faktiske regelen i stedet for menyetiketten. En skjerm som sier DMZ eller alle porter beskriver en intensjon, ikke en pakkevei. Netfilter NAT-dokumentasjonen skiller de to oversettelsene, og det er den riktige tankemodellen selv når ruteren foran deg er et forbrukerprodukt.

To felt, to forskjellige spørsmål.

Betingelse to: hva lytter på de bevarte portene?

Hvis regelen beholder den innkommende porten, leveres hver ankommende port til samme nummer på VPN-verten, underlagt denne vertens inngangspolicy. Det omfatter tjenester du kanskje har glemt at lyttet. Regelen skapte ikke disse tjenestene, og den er nå veien til dem.

Hvis regelen skriver om porten, skjer det motsatte: mange ytre porter kollapser til én lytter, og ingenting annet på verten er tilgjengelig gjennom den regelen. En omskriving til fast port blir ikke tilgang til hver lokal tjeneste bare fordi et bredt område av ytre porter passet på den. De to designene feiler i forskjellige retninger, og feilmodusen er det du velger. Velg den du kan leve med feilen til.

Kartlegg lytteren før du velger.

Betingelse tre: hvor bred er den ytre inngangen?

Å publisere én valgt port er smalere enn å publisere et område, og begge er smalere enn å akseptere alt. Den ytre bredden og den indre oversettelsen er uavhengige valg, og det meste av forvirringen kommer av å endre det ene mens man beskriver det andre.

For en vanlig VPN-inngang, publiser transporten og lytteren som designet faktisk trenger. Se deretter over tre ting til: ruterens effektive mapping, målvertens egne inngangsregler, og om en IPv6-lytter publiserer samme tjeneste. En regel som ser smal ut i én adressefamilie, kan være bred i den andre.

Skriv det oversatte endepunktet fullt ut: protokoll, ytre port, indre adresse, indre port.

Hva ingen av reglene gir deg

Ingen av de to designene beviser at tjenesten er fri for sårbarheter, og ingen av dem beskytter tilgjengeligheten. Autentisering, oppdateringer og gjenoppretting forblir i omfanget uansett hvor smal portmappingen er. En smal mapping reduserer den tilgjengelige overflaten; den gjør ikke lytteren sikker.

En bred regel som allerede støtter en annen legitim tjeneste, er en avhengighet, ikke bare en feil. Kartlegg den og erstatt den via eieren før du fjerner den, ellers vil endringen se ut som et avbrudd forårsaket av en sikkerhetsrettelse. Samme forsiktighet gjelder en omskriving til fast port som noe annet stille er avhengig av.

Eksponeringsanalyse handler om hva som kan nå hva, ikke om etiketten på skjermen.

Bestem med det oversatte endepunktet i hånden

Skriv resultatet av regelen som en setning: offentlig UDP-port X når adresse Y port Z. Spør deretter hvilke tjenester på Y som kan svare på Z, og hvem som eier dem.

nft list ruleset

Hvis svaret er den ene lytteren du hadde tenkt, gjør regelen jobben sin.

Hvis svaret er flere, har du valgt videresending til hele verten, uansett om grensesnittet kalte det det eller ikke.