Czy router nadrzędny naprawdę dostarcza przychodzące porty VPN?

Trzy warunki decydują, czy przekierowanie portu na routerze laboratoryjnym cokolwiek opublikuje: co dostarcza górna krawędź, jaką politykę stosuje i czy odpowiedzi wracają tą samą drogą. Adres wyglądający na publiczny nie odpowiada na żaden z nich. Podobnie prefiks /30 ani działające połączenie wychodzące. Uporządkuj te warunki przed zmianą NAT, inaczej lokalna reguła będzie wyglądać na zepsutą, gdy blokada znajduje się dwa skoki dalej.

Trzy odpowiedzi decydują, do kogo eskalujesz

Właściciel górnej krawędzi może opisać przekazanie na jeden z trzech sposobów. Cel jest dostarczany bezpośrednio do twojego interfejsu, osobny prefiks jest routowany do następnego skoku albo coś z przodu tłumaczy adres, zanim do ciebie dotrze. Każda odpowiedź wskazuje inne urządzenie, które musi zezwolić na połączenie przychodzące, i inny zespół, do którego trzeba zadzwonić, gdy tak się nie dzieje.

Filtrowanie to czwarta zmienna i jest niezależne od wszystkich trzech. Sieć może filtrować ruch, który zachowuje swój publiczny adres, a translator nie jest automatycznie granicą polityki. Pytaj o dozwolone adresy źródłowe, transporty i porty równocześnie z dostarczaniem, bo przekierowany port, który krawędź odrzuca, nigdy nie dotrze do twojej reguły.

Czytaj przekazanie jak umowę o usługę

Zapisz pięć wartości, zanim dotkniesz routera laboratoryjnego: przypisany adres interfejsu, długość prefiksu, następny skok, adres docelowy używany przez klientów zewnętrznych oraz dokładny protokół i port. Najciekawszy jest cel, bo może wcale nie być adresem skonfigurowanym na twoim urządzeniu. Jeśli górna krawędź oczekuje, że klienci dotrą do przetłumaczonego adresu, lokalny DNAT musi odpowiadać tej umowie, a nie adresowi interfejsu, który widzisz.

Dyskusja IETF o zachowaniu zapór sieciowych to użyteczne przypomnienie, że filtrowanie i tłumaczenie to odrębne funkcje. Wyjaśnia, dlaczego router może egzekwować politykę wejściową bez ukrywania adresów, i dlaczego NAT gdzieś wyżej nie dowodzi, że filtrowanie odbywa się właśnie tam. Traktuj przekazanie jak opis usługi z właścicielem i procesem zmian.

Obserwuj jedną próbę na obu granicach

Jedna wąska, zatwierdzona próba skorelowana w dwóch punktach zastępuje stos domysłów. Uruchom przechwycenie na interfejsie WAN laboratorium dla dokładnej tuple i poproś właściciela górnej krawędzi o obserwację tej samej tuple na krawędzi. Utrzymaj identyczny cel, protokół, port, źródło i znacznik czasu w obu widokach.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Czytaj parę wyników jako decyzję. Widziane na krawędzi i widziane na WAN laboratorium oznacza, że dostarczanie i polityka krawędzi przechodzą, więc kontynuuj z listenerem lub DNAT. Widziane na krawędzi, ale nie na WAN laboratorium wskazuje na dostarczanie lub politykę pośrednią, a następny telefon należy do właściciela górnej krawędzi. Niegdzie niewidziane oznacza, że testowa tuple, źródło lub ścieżka są błędne jeszcze przed jakimkolwiek pytaniem o zaporę.

Brak dowodu w jednym przechwyceniu nie jest dowodem istnienia zapory. To wynik graniczny, który mówi, które urządzenie sprawdzić następne.

Nie pozwól lokalnemu NAT ukryć odpowiedzi

Lokalna reguła staje się interesująca dopiero po potwierdzeniu wejścia. Potwierdź, że celem DNAT jest rzeczywisty adres i port listenera VPN, że przekazywanie jest włączone dla właściwej rodziny i że odpowiedź wychodzi przez interfejs, na który przyszło żądanie. Reguła, która przepisuje cel, ale nie drogę powrotną, daje ten sam limit czasu co odrzucony pakiet.

Zachowaj bezpieczeństwo portów i produkcyjne przekazanie podczas dochodzenia. Wymiana routera lub fałszowanie jego adresu MAC, by obejść kontrole podłączenia, zamienia diagnostykę na awarię. Port lustrzany lub zatwierdzone przechwycenie daje tę samą widoczność bez odłączania usług współdzielących łącze.

Zakończ mapą własności: cel, urządzenie dostarczające, urządzenie filtrujące, wejście laboratoryjne i listener. Ta mapa sprawia, że następny przegląd przekierowań portów jest mały, i nie uwierzytelnia niczego o samym VPN.