के अपस्ट्रिम राउटरले साँच्चै इनबाउन्ड VPN पोर्ट पुर्‍याउँछ?

प्रयोगशाला राउटरमा पोर्ट फर्वार्डले केही प्रकाशित गर्छ कि गर्दैन भन्ने तीन सर्तले निर्धारण गर्छन्: अपस्ट्रिम किनाराले के पुर्‍याउँछ, कुन नीति लागू गर्छ, र जवाफहरू त्यही बाटो फर्कन्छन् कि फर्कँदैनन्। सार्वजनिक देखिने ठेगानाले यीमध्ये कुनैको जवाफ दिँदैन। /30 प्रिफिक्स वा काम गर्ने आउटबाउन्ड जडानले पनि दिँदैन। NAT परिवर्तन गर्नुअघि यी सर्तहरू क्रममा राख्नुहोस्, नत्र ब्लक दुई हप टाढा हुँदा स्थानीय नियम भाँचिएको देखिनेछ।

तीन उत्तरले तपाईं कसलाई एस्केलेट गर्ने निर्धारण गर्छन्

अपस्ट्रिम मालिकले हस्तान्तरण तीनमध्ये एक तरिकाले वर्णन गर्न सक्छ। गन्तव्य सिधै तपाईंको इन्टरफेसमा पुर्‍याइन्छ, छुट्टै प्रिफिक्स तपाईंको अर्को हपमा रुट गरिन्छ, वा अगाडि केहीले तपाईंसम्म पुग्नुअघि ठेगाना अनुवाद गर्छ। प्रत्येक उत्तरले इनबाउन्ड जडान अनुमति दिनुपर्ने फरक यन्त्र र त्यसो नभएमा फोन गर्नुपर्ने फरक टोलीको नाम दिन्छ।

फिल्टरिङ चौथो चर हो र यो तीनैबाट स्वतन्त्र छ। सञ्जालले आफ्नो सार्वजनिक ठेगाना कायम राख्ने ट्राफिक फिल्टर गर्न सक्छ, र अनुवादक स्वतः नीतिको सीमा हुँदैन। अनुमत स्रोत ठेगाना, यातायात र पोर्टबारे डेलिभरीसँगै सोध्नुहोस्, किनकि किनाराले फाल्ने फर्वार्ड गरिएको पोर्ट कहिल्यै तपाईंको नियमसम्म पुग्दैन।

हस्तान्तरणलाई सेवा करारका रूपमा पढ्नुहोस्

प्रयोगशाला राउटर छुनुअघि पाँच मान लेख्नुहोस्: तोकिएको इन्टरफेस ठेगाना, प्रिफिक्सको लम्बाइ, अर्को हप, बाह्य क्लाइन्टले प्रयोग गर्ने गन्तव्य ठेगाना, र ठ्याक्कै प्रोटोकल र पोर्ट। रोचक गन्तव्य हो, किनकि त्यो तपाईंको यन्त्रमा कन्फिगर गरिएको ठेगाना नै नहुन सक्छ। यदि अपस्ट्रिमले क्लाइन्टहरू अनुवादित ठेगानासम्म पुग्ने अपेक्षा गर्छ भने, स्थानीय DNAT त्यो करारसँग मिल्नुपर्छ, तपाईंले देख्ने इन्टरफेस ठेगानासँग होइन।

IETF को फायरवाल-व्यवहार छलफल ले फिल्टरिङ र अनुवाद फरक कार्य हुन् भन्ने उपयोगी सम्झना गराउँछ। राउटरले ठेगाना नलुकाई इनबाउन्ड नीति कसरी लागू गर्न सक्छ, र माथि कतै NAT हुनुले फिल्टरिङ त्यहीँ हुन्छ भन्ने प्रमाण किन हुँदैन भन्ने व्याख्या गर्छ। हस्तान्तरणलाई मालिक र परिवर्तन प्रक्रियासहितको सेवा विवरण मान्नुहोस्।

दुवै सीमामा एउटा प्रयास अवलोकन गर्नुहोस्

दुई बिन्दुमा सहसम्बन्धित एउटा साँघुरो, स्वीकृत प्रयासले अनुमानको थुप्रो बदल्छ। ठ्याक्कै टपलका लागि प्रयोगशालाको WAN इन्टरफेसमा क्याप्चर चलाउनुहोस्, र अपस्ट्रिम मालिकलाई त्यही टपल किनारामा अवलोकन गर्न भन्नुहोस्। गन्तव्य, प्रोटोकल, पोर्ट, स्रोत र समयछाप दुई दृश्यबीच समान राख्नुहोस्।

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

नतिजाको जोडीलाई निर्णयका रूपमा पढ्नुहोस्। किनारामा देखियो र प्रयोगशालाको WAN मा देखियो भने डेलिभरी र किनारा नीति दुवै पास भए, त्यसैले लिसनर वा DNAT सँग अगाडि बढ्नुहोस्। किनारामा देखियो तर प्रयोगशालाको WAN मा देखिएन भने डेलिभरी वा मध्यस्थ नीतितर्फ सङ्केत गर्छ, र अर्को कल अपस्ट्रिम मालिकलाई। कतै देखिएन भने फायरवाल प्रश्नअघि नै परीक्षण टपल, स्रोत वा बाटो गलत छ।

एउटा क्याप्चरमा प्रमाणको अभाव फायरवालको प्रमाण होइन। यो अगाडि कुन यन्त्र जाँच्ने भनी बताउने सीमाको नतिजा हो।

स्थानीय NAT लाई जवाफ लुकाउन नदिनुहोस्

इनग्रेस पुष्टि भएपछि मात्र स्थानीय नियम रोचक बन्छ। DNAT लक्ष्य VPN लिसनरको वास्तविक ठेगाना र पोर्ट हो, सम्बन्धित परिवारका लागि फर्वार्डिङ सक्षम छ, र जवाफ अनुरोध आएको इन्टरफेसबाटै बाहिर जान्छ भनी पुष्टि गर्नुहोस्। गन्तव्य पुनःलेख्ने तर फर्कने बाटो नलेख्ने नियमले फालिएको प्याकेटजस्तै समयसमाप्ति उत्पन्न गर्छ।

अनुसन्धान गर्दा पोर्ट सुरक्षा र उत्पादन हस्तान्तरण कायम राख्नुहोस्। जडान नियन्त्रण छल्न राउटर बदल्नु वा त्यसको MAC ठेगाना नक्कली बनाउनु निदानलाई अवरोधसँग साट्नु हो। मिरर पोर्ट वा स्वीकृत क्याप्चरले लिङ्क साझा गर्ने सेवा विच्छेद नगरी त्यही दृश्यता दिन्छ।

स्वामित्व नक्सासँग अन्त्य गर्नुहोस्: गन्तव्य, पुर्‍याउने यन्त्र, फिल्टर गर्ने यन्त्र, प्रयोगशाला इनग्रेस र लिसनर। त्यो नक्साले अर्को पोर्ट-फर्वार्ड समीक्षा सानो बनाउँछ, र यसले VPN आफैंबारे केही प्रमाणित गर्दैन।