Alles naar één host doorsturen of ook de poort herschrijven?

Alles naar uw VPN-server doorsturen kan twee heel verschillende regels beschrijven. De ene wijzigt het bestemmingsadres en behoudt de inkomende poort; de andere herschrijft ook de poort naar één enkele luisteraar. De blootstelling is niet hetzelfde, en de beslissing hangt af van drie voorwaarden, niet van het label dat de interface van de router gebruikt.

Voorwaarde één: welke velden wijzigt de regel?

Omzetting van het bestemmingsadres en omzetting van de bestemmingspoort zijn aparte bewerkingen. Een regel kan alleen de eerste uitvoeren, of beide samen, en het verschil bepaalt welke diensten op de doelhost bereikbaar zijn. De meeste leveranciersinterfaces verbergen die keuze achter één label. De onderliggende regel lezen is de enige manier om te weten welke u hebt gekregen.

Lees de werkelijke regel, niet het menulabel. Een scherm dat DMZ of alle poorten zegt, beschrijft een bedoeling, niet een pakketpad. De Netfilter NAT-documentatie scheidt de twee omzettingen, en dat is het juiste denkmodel, zelfs wanneer de router voor u een consumentenapparaat is.

Twee velden, twee verschillende vragen.

Voorwaarde twee: wat luistert er op de behouden poorten?

Als de regel de inkomende poort behoudt, wordt elke aankomende poort aan hetzelfde nummer op de VPN-host afgeleverd, onderworpen aan het invoerbeleid van die host. Dat omvat diensten waarvan u misschien vergeten bent dat ze luisterden. De regel heeft die diensten niet gemaakt, en zij is nu de weg ernaartoe.

Als de regel de poort herschrijft, gebeurt het omgekeerde: veel buitenpoorten vallen samen op één luisteraar, en niets anders op de host is via die regel bereikbaar. Een herschrijving naar een vaste poort wordt niet vanzelf toegang tot elke lokale dienst alleen omdat een breed bereik buitenpoorten erop paste. De twee ontwerpen falen in verschillende richtingen, en de faalmodus is wat u kiest. Kies degene met wiens falen u kunt leven.

Inventariseer de luisteraar voordat u kiest.

Voorwaarde drie: hoe breed is de buiteningang?

Eén gekozen poort publiceren is smaller dan een bereik publiceren, en beide zijn smaller dan alles accepteren. De buitenbreedte en de binnenomzetting zijn onafhankelijke keuzes, en de meeste verwarring komt voort uit het wijzigen van het ene terwijl u het andere beschrijft.

Publiceer voor een gewone VPN-ingang het transport en de luisteraar die het ontwerp werkelijk nodig heeft. Controleer daarna nog drie dingen: de effectieve mapping van de router, de eigen invoerregels van de doelhost, en of een IPv6-luisteraar dezelfde dienst publiceert. Een regel die in de ene adresfamilie smal lijkt, kan in de andere breed zijn.

Schrijf het omgezette eindpunt volledig op: protocol, buitenpoort, binnenadres, binnenpoort.

Wat geen van beide regels u geeft

Geen van beide ontwerpen bewijst dat de dienst vrij is van kwetsbaarheden, en geen van beide beschermt de beschikbaarheid. Authenticatie, updates en herstel blijven in scope, hoe smal de poortmapping ook is. Een smalle mapping verkleint het bereikbare oppervlak; het maakt de luisteraar niet veilig.

Een brede regel die al een andere legitieme dienst ondersteunt, is een afhankelijkheid, niet alleen een fout. Inventariseer hem en vervang hem via zijn eigenaar voordat u hem verwijdert, anders lijkt de wijziging op een storing veroorzaakt door een beveiligingsreparatie. Dezelfde voorzichtigheid geldt voor een herschrijving naar een vaste poort waar iets anders stil op vertrouwt.

Blootstellingsanalyse gaat over wat wat kan bereiken, niet over het label op het scherm.

Beslis met het omgezette eindpunt in de hand

Schrijf het resultaat van de regel als een zin: openbare UDP-poort X bereikt adres Y poort Z. Vraag daarna welke diensten op Y op Z kunnen antwoorden en wie ze bezit.

nft list ruleset

Als het antwoord de ene luisteraar is die u bedoelde, doet de regel zijn werk.

Als het antwoord er meerdere zijn, hebt u doorsturen naar de hele host gekozen, of de interface het nu zo noemde of niet.