O roteador a montante realmente entrega as portas VPN de entrada?

Três condições decidem se um encaminhamento de porta no roteador do laboratório publica algo: o que a borda a montante entrega, qual política aplica e se as respostas voltam pelo mesmo caminho. Um endereço que parece público não responde a nenhuma delas. Nem um prefixo /30 ou uma conexão de saída funcional. Ordene essas condições antes de mudar o NAT, ou a regra local parecerá quebrada quando o bloqueio estiver a dois saltos de distância.

Três respostas decidem a quem escalar

O proprietário da borda a montante pode descrever a entrega de uma de três maneiras. O destino é entregue diretamente à sua interface, um prefixo separado é encaminhado para o próximo salto, ou algo à frente traduz o endereço antes de chegar até você. Cada resposta nomeia um dispositivo diferente que deve permitir a conexão de entrada, e uma equipe diferente a chamar quando isso não acontece.

A filtragem é a quarta variável e é independente das três. Uma rede pode filtrar tráfego que mantém o seu endereço público, e um tradutor não é automaticamente a fronteira de política. Pergunte pelos endereços de origem, transportes e portas permitidos ao mesmo tempo que pela entrega, porque uma porta encaminhada que a borda descarta nunca chega à sua regra.

Leia a entrega como um contrato de serviço

Anote cinco valores antes de tocar no roteador do laboratório: o endereço de interface atribuído, o comprimento do prefixo, o próximo salto, o endereço de destino que os clientes externos usarão e o protocolo e a porta exatos. O destino é o interessante, porque pode não ser de todo um endereço configurado no seu dispositivo. Se a borda a montante espera que os clientes cheguem a um endereço traduzido, o DNAT local deve corresponder a esse contrato e não ao endereço de interface que você vê.

A discussão do IETF sobre o comportamento de firewalls é um lembrete útil de que a filtragem e a tradução são funções separadas. Explica porque é que um roteador pode aplicar política de entrada sem ocultar endereços, e porque é que o NAT nalgum ponto a montante não prova que a filtragem acontece ali. Trate a entrega como uma descrição de serviço com um proprietário e um processo de mudança.

Observe uma tentativa nas duas fronteiras

Uma tentativa estreita e aprovada, correlacionada em dois pontos, substitui uma pilha de suposições. Execute uma captura na interface WAN do laboratório para a tupla exata, e peça ao proprietário a montante que observe a mesma tupla na borda. Mantenha destino, protocolo, porta, origem e marca temporal idênticos entre as duas vistas.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Leia o par de resultados como uma decisão. Visto na borda e visto na WAN do laboratório significa que a entrega e a política de borda passam ambas, portanto continue com o ouvinte ou o DNAT. Visto na borda mas não na WAN do laboratório aponta para a entrega ou uma política intermédia, e a próxima chamada é para o proprietário a montante. Não visto em lado nenhum significa que a tupla de teste, a origem ou o caminho estão errados antes de qualquer pergunta sobre a firewall.

A ausência de provas numa captura não é prova de uma firewall. É um resultado de fronteira que lhe diz qual dispositivo inspecionar a seguir.

Não deixe o NAT local esconder a resposta

A regra local só se torna interessante depois de a entrada ser confirmada. Confirme que o alvo do DNAT é o endereço e a porta reais do ouvinte VPN, que o encaminhamento está ativo para a família relevante e que a resposta sai pela interface por onde chegou o pedido. Uma regra que reescreve o destino mas não o caminho de retorno produz o mesmo tempo limite que um pacote descartado.

Mantenha a segurança das portas e a entrega de produção enquanto investiga. Substituir o roteador ou falsificar o seu endereço MAC para contornar os controlos de ligação troca um diagnóstico por uma interrupção. Uma porta espelho ou uma captura aprovada dão a mesma visibilidade sem desligar serviços que partilham a ligação.

Termine com o mapa de propriedade: destino, dispositivo que entrega, dispositivo que filtra, entrada do laboratório e ouvinte. Esse mapa torna pequena a próxima revisão do encaminhamento de portas, e não autentica nada sobre a própria VPN.