Vidaresenda alt til éin vert eller også skriva om porten?

Vidaresending av alt til VPN-tenaren din kan skildre to svært ulike reglar. Den eine endrar måladdressa og held på den innkommande porten; den andre skriv også om porten til éin einaste lyttar. Eksponeringa er ikkje den same, og avgjerda heng av tre vilkår, ikkje av etiketten grensesnittet på rutaren brukar.

Vilkår éin: kva felt endrar regelen?

Omsetjing av måladdressa og omsetjing av målporten er separate operasjonar. Ein regel kan utføre berre den første eller begge saman, og skilnaden avgjer kva tenester på målverten som er tilgjengelege. Dei fleste leverandørgrensesnitt skjuler dette valet bak éin einaste etikett. Å lese den underliggjande regelen er den einaste måten å vite kven du fekk.

Les den faktiske regelen i staden for menyetiketten. Ein skjerm som seier DMZ eller alle portar skildrar ei intensjon, ikkje ein pakkeveg. Netfilter NAT-dokumentasjonen skil dei to omsetjingane, og det er den rette tankemodellen sjølv når rutaren framfor deg er eit forbrukarprodukt.

To felt, to ulike spørsmål.

Vilkår to: kva lyttar på dei bevarte portane?

Viss regelen held på den innkommande porten, vert kvar ankommande port levert til same nummer på VPN-verten, underlagt inngangspolicyen til denne verten. Det omfattar tenester du kanskje har gløymt at lytta. Regelen skapte ikkje desse tenestene, og han er no vegen til dei.

Viss regelen skriv om porten, skjer det motsette: mange ytre portar kollapsar til éin lyttar, og ingenting anna på verten er tilgjengeleg gjennom den regelen. Ei omskriving til fast port vert ikkje tilgang til kvar lokal teneste berre fordi eit breitt område av ytre portar passa på han. Dei to designa feilar i ulike retningar, og feilmodusen er det du vel. Vel den du kan leve med feilen til.

Kartlegg lyttaren før du vel.

Vilkår tre: kor brei er den ytre inngangen?

Å publisere éin vald port er smalare enn å publisere eit område, og begge er smalare enn å godta alt. Den ytre breidda og den indre omsetjinga er uavhengige val, og det meste av forvirringa kjem av å endre det eine medan ein skildrar det andre.

For ein vanleg VPN-inngang, publiser transporten og lyttaren som designet faktisk treng. Sjå deretter over tre ting til: den effektive mappinga til rutaren, eigne inngangsreglar på målverten, og om ein IPv6-lyttar publiserer same teneste. Ein regel som ser smal ut i éin adressefamilie, kan vere brei i den andre.

Skriv det omsette endepunktet fullt ut: protokoll, ytre port, indre adresse, indre port.

Kva ingen av reglane gjev deg

Ingen av dei to designa beviser at tenesta er fri for sårbarheiter, og ingen av dei vernar tilgjenge. Autentisering, oppdateringar og gjenoppretting blir verande i omfanget uansett kor smal portmappinga er. Ei smal mapping minskar den tilgjengelege flata; ho gjer ikkje lyttaren trygg.

Ein brei regel som allereie støttar ei anna legitim teneste, er ein avhengnad, ikkje berre ein feil. Kartlegg han og erstatt han via eigaren før du fjernar han, elles vil endringa sjå ut som eit avbrot forårsaka av ei sikkerheitsretting. Same varsemd gjeld ei omskriving til fast port som noko anna stille er avhengig av.

Eksponeringsanalyse handlar om kva som kan nå kva, ikkje om etiketten på skjermen.

Avgjer med det omsette endepunktet i handa

Skriv resultatet av regelen som ei setning: offentleg UDP-port X når adresse Y port Z. Spør deretter kva tenester på Y som kan svare på Z, og kven som eig dei.

nft list ruleset

Viss svaret er den eine lyttaren du hadde tenkt, gjer regelen jobben sin.

Viss svaret er fleire, har du valt vidaresending til heile verten, uansett om grensesnittet kalla det det eller ikkje.