Routerul din amonte livrează într-adevăr porturile VPN de intrare?

Trei condiții decid dacă o redirecționare de port pe routerul laboratorului publică ceva: ce livrează marginea din amonte, ce politică aplică și dacă răspunsurile se întorc pe același drum. O adresă care pare publică nu răspunde la niciuna. Nici un prefix /30 sau o conexiune de ieșire funcțională. Ordonați aceste condiții înainte de a schimba NAT, altfel regula locală va părea stricată în timp ce blocarea se află la doi pași distanță.

Trei răspunsuri decid la cine escalați

Proprietarul marginii din amonte poate descrie predarea într-unul din trei moduri. Destinația este livrată direct interfeței dumneavoastră, un prefix separat este rutat către următorul salt, sau ceva din față traduce adresa înainte de a ajunge la dumneavoastră. Fiecare răspuns numește un alt dispozitiv care trebuie să permită conexiunea de intrare și o altă echipă de sunat când acest lucru nu se întâmplă.

Filtrarea este a patra variabilă și este independentă de toate trei. O rețea poate filtra traficul care își păstrează adresa publică, iar un traducător nu este automat granița politicii. Întrebați despre adresele de sursă, transporturile și porturile permise în același timp cu livrarea, pentru că un port redirecționat pe care marginea îl aruncă nu ajunge niciodată la regula dumneavoastră.

Citiți predarea ca un contract de serviciu

Notați cinci valori înainte de a atinge routerul laboratorului: adresa de interfață atribuită, lungimea prefixului, următorul salt, adresa de destinație pe care o vor folosi clienții externi, precum și protocolul și portul exacte. Destinația este cea interesantă, pentru că s-ar putea să nu fie deloc o adresă configurată pe dispozitivul dumneavoastră. Dacă marginea din amonte așteaptă ca clienții să ajungă la o adresă tradusă, DNAT-ul local trebuie să corespundă acelui contract, nu adresei de interfață pe care o vedeți.

Discuția IETF despre comportamentul firewall-urilor este o reamintire utilă că filtrarea și traducerea sunt funcții separate. Explică de ce un router poate impune politică de intrare fără a ascunde adrese și de ce NAT-ul undeva în amonte nu dovedește că filtrarea are loc acolo. Tratați predarea ca o descriere de serviciu cu un proprietar și un proces de schimbare.

Observați o încercare la ambele frontiere

O singură încercare îngustă și aprobată, corelată în două puncte, înlocuiește o grămadă de presupuneri. Rulați o captură pe interfața WAN a laboratorului pentru tuple-ul exact și rugați proprietarul din amonte să observe același tuple la margine. Păstrați destinația, protocolul, portul, sursa și marcajul temporal identice între cele două vederi.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Citiți perechea de rezultate ca pe o decizie. Văzut la margine și văzut pe WAN-ul laboratorului înseamnă că livrarea și politica de margine trec amândouă, așa că continuați cu ascultătorul sau cu DNAT. Văzut la margine dar nu pe WAN-ul laboratorului indică livrarea sau o politică intermediară, iar următorul apel este la proprietarul din amonte. Nevăzut nicăieri înseamnă că tuple-ul de test, sursa sau drumul sunt greșite înainte de orice întrebare despre firewall.

Absența dovezilor într-o captură nu este dovada unui firewall. Este un rezultat de frontieră care vă spune ce dispozitiv să inspectați în continuare.

Nu lăsați NAT-ul local să ascundă răspunsul

Regula locală devine interesantă abia după confirmarea intrării. Confirmați că ținta DNAT este adresa și portul reale ale ascultătorului VPN, că redirecționarea este activată pentru familia relevantă și că răspunsul pleacă prin interfața pe care a sosit cererea. O regulă care rescrie destinația dar nu și calea de întoarcere produce același timp de așteptare ca un pachet aruncat.

Păstrați securitatea porturilor și predarea de producție în timp ce investigați. Înlocuirea routerului sau falsificarea adresei MAC pentru a ocoli controalele de conectare schimbă un diagnostic pe o întrerupere. Un port oglindă sau o captură aprobată oferă aceeași vizibilitate fără a deconecta serviciile care partajează legătura.

Încheiați cu harta de proprietate: destinație, dispozitiv care livrează, dispozitiv care filtrează, intrarea laboratorului și ascultător. Acea hartă face mică următoarea revizuire a redirecționării porturilor și nu autentifică nimic despre VPN în sine.