Действительно ли вышестоящий маршрутизатор доставляет входящие порты VPN?

Три условия решают, опубликует ли что-нибудь перенаправление порта на лабораторном маршрутизаторе: что доставляет верхний край, какую политику он применяет и возвращаются ли ответы тем же путём. Публично выглядящий адрес не отвечает ни на одно из них. Ни префикс /30, ни работающее исходящее соединение. Упорядочьте эти условия до изменения NAT, иначе локальное правило будет выглядеть сломанным, пока блокировка находится в двух переходах.

Три ответа решают, к кому эскалировать

Владелец верхнего края может описать передачу одним из трёх способов. Назначение доставляется напрямую на ваш интерфейс, отдельный префикс маршрутизируется на следующий переход, или что-то впереди транслирует адрес, прежде чем он до вас дойдёт. Каждый ответ называет другое устройство, которое должно разрешить входящее соединение, и другую команду, в которую нужно звонить, когда этого не происходит.

Фильтрация — четвёртая переменная, и она не зависит от всех трёх. Сеть может фильтровать трафик, сохраняющий свой публичный адрес, а транслятор не является автоматически границей политики. Спрашивайте о разрешённых адресах источника, транспортах и портах одновременно с доставкой, потому что перенаправленный порт, который край отбрасывает, никогда не дойдёт до вашего правила.

Читайте передачу как договор на услугу

Запишите пять значений, прежде чем трогать лабораторный маршрутизатор: назначенный адрес интерфейса, длину префикса, следующий переход, адрес назначения, который будут использовать внешние клиенты, и точные протокол и порт. Интересно именно назначение, потому что это может быть вовсе не адрес, настроенный на вашем устройстве. Если верхний край ожидает, что клиенты достигнут транслированного адреса, локальный DNAT должен соответствовать этому контракту, а не адресу интерфейса, который вы видите.

Обсуждение IETF о поведении межсетевых экранов — полезное напоминание о том, что фильтрация и трансляция являются отдельными функциями. Оно объясняет, почему маршрутизатор может применять входящую политику, не скрывая адреса, и почему NAT где-то выше не доказывает, что фильтрация происходит именно там. Относитесь к передаче как к описанию услуги с владельцем и процессом изменений.

Наблюдайте одну попытку на обеих границах

Одна узкая одобренная попытка, коррелированная в двух точках, заменяет груду догадок. Запустите захват на WAN-интерфейсе лаборатории для точного кортежа и попросите владельца верхнего края наблюдать тот же кортеж на краю. Держите назначение, протокол, порт, источник и отметку времени одинаковыми между двумя представлениями.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Читайте пару результатов как решение. Видно на краю и видно на лабораторном WAN означает, что и доставка, и политика края проходят, поэтому продолжайте с прослушивателем или DNAT. Видно на краю, но не на лабораторном WAN, указывает на доставку или промежуточную политику, и следующий звонок — владельцу верхнего края. Нигде не видно означает, что тестовый кортеж, источник или путь неверны ещё до любого вопроса о межсетевом экране.

Отсутствие доказательств в одном захвате не является доказательством межсетевого экрана. Это результат на границе, который указывает, какое устройство проверять дальше.

Не позволяйте локальному NAT скрыть ответ

Локальное правило становится интересным только после подтверждения входа. Подтвердите, что целью DNAT являются фактические адрес и порт прослушивателя VPN, что перенаправление включено для соответствующего семейства и что ответ уходит через интерфейс, на который пришёл запрос. Правило, которое переписывает назначение, но не обратный путь, даёт тот же тайм-аут, что и отброшенный пакет.

Сохраняйте безопасность портов и производственную передачу, пока ведёте расследование. Замена маршрутизатора или подделка его MAC-адреса для обхода контроля подключения меняет диагностику на простой. Зеркальный порт или одобренный захват даёт ту же видимость, не отключая службы, которые делят канал.

Завершите картой собственности: назначение, доставляющее устройство, фильтрующее устройство, вход лаборатории и прослушиватель. Эта карта делает следующий обзор перенаправлений портов небольшим, и она ничего не удостоверяет о самом VPN.