Levert de upstream-router echt inkomende VPN-poorten?

Drie voorwaarden bepalen of een portforward op de labrouter iets publiceert: wat de upstream-rand levert, welk beleid die toepast en of antwoorden via hetzelfde pad terugkeren. Een adres dat openbaar lijkt, beantwoordt geen van drie. Een /30-prefix of een werkende uitgaande verbinding ook niet. Sorteer die voorwaarden voordat je NAT wijzigt, anders lijkt de lokale regel stuk terwijl de blokkade twee hops verderop zit.

Drie antwoorden bepalen naar wie je escaleert

De eigenaar van de upstream-rand kan de overdracht op een van drie manieren beschrijven. De bestemming wordt rechtstreeks aan je interface geleverd, een afzonderlijk prefix wordt naar je volgende hop gerouteerd, of iets ervoor vertaalt het adres voordat het je bereikt. Elk antwoord noemt een ander apparaat dat de inkomende verbinding moet toestaan, en een ander team dat je moet bellen als dat niet gebeurt.

Filtering is de vierde variabele en die staat los van alle drie. Een netwerk kan verkeer filteren dat zijn openbare adres behoudt, en een vertaler is niet automatisch de beleidsgrens. Vraag naar toegestane bronadressen, transporten en poorten tegelijk met de levering, want een doorgestuurde poort die de rand laat vallen, bereikt je regel nooit.

Lees de overdracht als een dienstcontract

Schrijf vijf waarden op voordat je de labrouter aanraakt: het toegewezen interfaceadres, de prefixlengte, de volgende hop, het bestemmingsadres dat externe clients gebruiken en het exacte protocol en de poort. De bestemming is de interessante, want het is misschien helemaal geen adres dat op je apparaat is geconfigureerd. Als de upstream verwacht dat clients een vertaald adres bereiken, moet lokaal DNAT aan dat contract voldoen en niet aan het interfaceadres dat je ziet.

De IETF-discussie over firewallgedrag is een nuttige herinnering dat filtering en vertaling gescheiden functies zijn. Het legt uit waarom een router inkomend beleid kan handhaven zonder adressen te verbergen, en waarom NAT ergens upstream niet bewijst dat filtering daar gebeurt. Behandel de overdracht als een dienstbeschrijving met een eigenaar en een wijzigingsproces.

Observeer één poging aan beide grenzen

Eén smalle, goedgekeurde poging die op twee punten wordt gecorreleerd, vervangt een berg gissingen. Voer een capture uit op de WAN-interface van het lab voor de exacte tuple, en vraag de upstream-eigenaar dezelfde tuple aan de rand te observeren. Houd bestemming, protocol, poort, bron en tijdstempel identiek tussen de twee weergaven.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Lees het paar resultaten als een beslissing. Gezien aan de rand en gezien op de lab-WAN betekent dat levering en randbeleid beide slagen, dus ga verder met de listener of DNAT. Gezien aan de rand maar niet op de lab-WAN wijst op levering of een tussenliggend beleid, en de volgende belronde is naar de upstream-eigenaar. Nergens gezien betekent dat de testtuple, de bron of het pad fout zijn voordat er überhaupt een firewallvraag is.

De afwezigheid van bewijs in één capture is geen bewijs van een firewall. Het is een grensresultaat dat je vertelt welk apparaat je hierna moet onderzoeken.

Laat lokaal NAT het antwoord niet verbergen

Pas nadat inkomend verkeer is bevestigd, wordt de lokale regel interessant. Bevestig dat het DNAT-doel het werkelijke adres en de poort van de VPN-listener is, dat forwarding is ingeschakeld voor de betreffende familie en dat het antwoord vertrekt via de interface waarop het verzoek binnenkwam. Een regel die de bestemming herschrijft maar niet het retourpad, levert dezelfde time-out als een weggevallen pakket.

Behoud poortbeveiliging en de productieoverdracht terwijl je onderzoekt. De router vervangen of zijn MAC-adres spoofen om aansluitcontroles te omzeilen, ruilt een diagnose voor een storing. Een mirrorpoort of een goedgekeurde capture geeft dezelfde zichtbaarheid zonder diensten los te koppelen die de link delen.

Sluit af met de eigendomskaart: bestemming, leverend apparaat, filterend apparaat, labingang en listener. Die kaart maakt de volgende beoordeling van portforwards klein, en ze authenticeert niets over de VPN zelf.