Leverer upstream-ruteren virkelig inngående VPN-porter?

Tre betingelser avgjør om en portvideresending på laboratorieruteren publiserer noe: hva oppstrømskanten leverer, hvilken policy den anvender, og om svar kommer tilbake samme vei. En adresse som ser offentlig ut svarer på ingen av dem. Det gjør heller ikke et /30-prefiks eller en fungerende utgående forbindelse. Sorter disse betingelsene før du endrer NAT, ellers vil den lokale regelen se ødelagt ut mens blokkeringen sitter to hopp unna.

Tre svar avgjør hvem du eskalerer til

Eieren av oppstrømskanten kan beskrive overleveringen på én av tre måter. Destinasjonen leveres direkte til grensesnittet ditt, et eget prefiks rutes til neste hopp, eller noe foran oversetter adressen før den når deg. Hvert svar navngir en annen enhet som må tillate den inngående forbindelsen, og et annet team som skal ringes når det ikke skjer.

Filtrering er den fjerde variabelen og er uavhengig av alle tre. Et nettverk kan filtrere trafikk som beholder sin offentlige adresse, og en oversetter er ikke automatisk policygrensen. Spør om tillatte kildeadresser, transport og porter samtidig med leveringen, fordi en videresendt port som kanten dropper aldri når regelen din.

Les overleveringen som en tjenestekontrakt

Skriv ned fem verdier før du tar på laboratorieruteren: den tildelte grensesnittadressen, prefikslengden, neste hopp, destinasjonsadressen eksterne klienter vil bruke, og den nøyaktige protokollen og porten. Destinasjonen er den interessante, fordi den kanskje ikke er en adresse som er konfigurert på enheten din i det hele tatt. Hvis oppstrømskanten forventer at klienter når en oversatt adresse, må lokal DNAT samsvare med den kontrakten og ikke med grensesnittadressen du ser.

IETFs diskusjon om brannmuratferd er en nyttig påminnelse om at filtrering og oversetting er separate funksjoner. Den forklarer hvorfor en ruter kan håndheve inngående policy uten å skjule adresser, og hvorfor NAT et sted oppstrøms ikke beviser at filtreringen skjer der. Behandle overleveringen som en tjenestebeskrivelse med en eier og en endringsprosess.

Observer ett forsøk ved begge grensene

Ett smalt, godkjent forsøk korrelert på to punkter erstatter en haug med gjetninger. Kjør et opptak på laboratoriets WAN-grensesnitt for den nøyaktige tuple, og be eieren av oppstrømskanten om å observere samme tuple ved kanten. Hold destinasjon, protokoll, port, kilde og tidsstempel identiske mellom de to visningene.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Les paret av resultater som en beslutning. Sett ved kanten og sett på laboratoriets WAN betyr at både levering og kantpolicy passerer, så fortsett med lytteren eller DNAT. Sett ved kanten men ikke på laboratoriets WAN peker på levering eller en mellomliggende policy, og neste samtale er til eieren av oppstrømskanten. Ikke sett noe sted betyr at test-tuplen, kilden eller veien er feil før noe brannmurspørsmål i det hele tatt.

Fravær av bevis i ett opptak er ikke bevis for en brannmur. Det er et grenseresultat som forteller deg hvilken enhet du skal undersøke neste gang.

Ikke la lokal NAT skjule svaret

Den lokale regelen blir først interessant etter at inngangen er bekreftet. Bekreft at DNAT-målet er VPN-lytterens faktiske adresse og port, at videresending er aktivert for den relevante familien, og at svaret forlater gjennom grensesnittet forespørselen kom inn på. En regel som skriver om destinasjonen men ikke returveien, gir samme tidsavbrudd som en droppet pakke.

Behold portsikkerhet og produksjonsoverleveringen mens du undersøker. Å bytte ut ruteren eller forfalske MAC-adressen for å omgå tilkoblingskontroller bytter en diagnose mot et avbrudd. En speilport eller et godkjent opptak gir samme synlighet uten å koble fra tjenester som deler lenken.

Avslutt med eierskapskartet: destinasjon, leverende enhet, filtrerende enhet, laboratoriets inngang og lytter. Det kartet gjør neste gjennomgang av portvideresending liten, og det autentiserer ingenting om selve VPN-en.