Encaminhar tudo para um único host ou reescrever também a porta?

Encaminhar tudo para o seu servidor VPN pode descrever duas regras muito diferentes. Uma altera o endereço de destino e mantém a porta de entrada; a outra também reescreve a porta para um único ouvinte. A exposição não é a mesma, e a decisão depende de três condições, não do rótulo usado pela interface do roteador.

Primeira condição: quais campos a regra altera?

A tradução do endereço de destino e a tradução da porta de destino são operações separadas. Uma regra pode executar apenas a primeira ou ambas juntas, e a diferença decide quais serviços no host de destino são alcançáveis. A maioria das interfaces de fabricantes esconde essa escolha atrás de um único rótulo. Ler a regra subjacente é a única forma de saber qual você obteve.

Leia a regra real, não o rótulo do menu. Uma tela que diz DMZ ou todas as portas descreve uma intenção, não um caminho de pacote. A documentação do Netfilter NAT separa as duas traduções, e esse é o modelo mental correto mesmo quando o roteador à sua frente é um aparelho doméstico.

Dois campos, duas perguntas diferentes.

Segunda condição: o que escuta nas portas preservadas?

Se a regra mantém a porta de entrada, cada porta que chega é entregue ao mesmo número no host VPN, sujeita à política de entrada desse host. Isso inclui serviços de que você talvez tenha esquecido que estavam escutando. A regra não criou esses serviços, e agora ela é o caminho até eles.

Se a regra reescreve a porta, acontece o contrário: muitas portas externas colapsam em um único ouvinte, e nada mais no host é alcançável por essa regra. Uma reescrita para porta fixa não se torna acesso a todos os serviços locais só porque uma faixa ampla de portas externas correspondeu a ela. Os dois desenhos falham em direções diferentes, e o modo de falha é o que você escolhe. Escolha aquele com cuja falha você consegue conviver.

Inventarie o ouvinte antes de escolher.

Terceira condição: qual é a largura da entrada externa?

Publicar uma única porta escolhida é mais estreito que publicar uma faixa, e ambos são mais estreitos que aceitar tudo. A largura externa e a tradução interna são escolhas independentes, e a maior parte da confusão vem de mudar uma enquanto se descreve a outra.

Para uma entrada VPN comum, publique o transporte e o ouvinte que o desenho realmente precisa. Depois revise mais três coisas: o mapeamento efetivo do roteador, as regras de entrada do próprio host de destino e se um ouvinte IPv6 publica o mesmo serviço. Uma regra que parece estreita em uma família de endereços pode ser ampla na outra.

Escreva o endpoint traduzido por inteiro: protocolo, porta externa, endereço interno, porta interna.

O que nenhuma das duas regras lhe dá

Nenhum dos dois desenhos prova que o serviço está livre de vulnerabilidades, e nenhum protege a disponibilidade. Autenticação, atualizações e recuperação continuam no escopo, por mais estreito que seja o mapeamento de portas. Um mapeamento estreito reduz a superfície alcançável; não torna o ouvinte seguro.

Uma regra ampla que já sustenta outro serviço legítimo é uma dependência, não apenas um erro. Inventarie-a e substitua-a pelo seu proprietário antes de removê-la, ou a mudança parecerá uma queda causada por uma correção de segurança. A mesma cautela vale para uma reescrita para porta fixa da qual algo mais depende em silêncio.

A análise de exposição trata do que pode alcançar o quê, não do rótulo na tela.

Decida com o endpoint traduzido em mãos

Escreva o resultado da regra como uma frase: a porta UDP pública X alcança o endereço Y porta Z. Depois pergunte quais serviços em Y podem responder em Z e quem é o dono deles.

nft list ruleset

Se a resposta for o único ouvinte que você pretendia, a regra está fazendo o seu trabalho.

Se a resposta for vários, você escolheu encaminhamento para todo o host, quer a interface tenha chamado assim ou não.