Da li upstream ruter zaista isporučuje dolazne VPN portove?

Tri uslova odlučuju da li prosljeđivanje porta na laboratorijskom ruteru objavljuje bilo šta: šta isporučuje ivica uzvodno, koju politiku primjenjuje i vraćaju li se odgovori istim putem. Adresa koja izgleda javno ne odgovara ni na jedan od njih. Niti prefiks /30 niti ispravna odlazna veza. Poredajte te uslove prije nego promijenite NAT, inače će lokalno pravilo izgledati neispravno dok blok stoji dva skoka dalje.

Tri odgovora odlučuju kome ćete eskalirati

Vlasnik uzvodne ivice može opisati predaju na jedan od tri načina. Odredište se isporučuje direktno na vaš interfejs, zaseban prefiks se rutira ka vašem sljedećem skoku, ili nešto ispred prevodi adresu prije nego što stigne do vas. Svaki odgovor imenuje drugi uređaj koji mora dozvoliti dolaznu vezu i drugi tim koji treba pozvati kada se to ne dogodi.

Filtriranje je četvrta promjenljiva i nezavisno je od sve tri. Mreža može filtrirati saobraćaj koji zadržava svoju javnu adresu, a prevodilac nije automatski granica politike. Pitajte o dozvoljenim izvornim adresama, transportima i portovima istovremeno sa isporukom, jer proslijeđeni port koji ivica odbaci nikada ne stiže do vašeg pravila.

Čitajte predaju kao ugovor o usluzi

Zapišite pet vrijednosti prije nego dodirnete laboratorijski ruter: dodijeljena adresa interfejsa, dužina prefiksa, sljedeći skok, odredišna adresa koju će koristiti spoljni klijenti i tačni protokol i port. Odredište je zanimljivo, jer možda uopšte nije adresa konfigurisana na vašem uređaju. Ako uzvodna ivica očekuje da klijenti dođu do prevedene adrese, lokalni DNAT mora odgovarati tom ugovoru, a ne adresi interfejsa koju vidite.

IETF rasprava o ponašanju vatrozida koristan je podsjetnik da su filtriranje i prevođenje odvojene funkcije. Objašnjava zašto ruter može sprovesti dolaznu politiku bez skrivanja adresa i zašto NAT negdje uzvodno ne dokazuje da se filtriranje odvija tamo. Tretirajte predaju kao opis usluge sa vlasnikom i procesom promjene.

Posmatrajte jedan pokušaj na obje ivice

Jedan uski, odobreni pokušaj koreliran na dvije tačke zamjenjuje gomilu nagađanja. Pokrenite snimanje na laboratorijskom WAN interfejsu za tačan tuple i zamolite vlasnika uzvodne ivice da posmatra isti tuple na ivici. Držite odredište, protokol, port, izvor i vremensku oznaku identičnim između dva prikaza.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Čitajte par rezultata kao odluku. Viđeno na ivici i viđeno na laboratorijskom WAN-u znači da isporuka i politika ivice oboje prolaze, pa nastavite sa listenerom ili DNAT-om. Viđeno na ivici ali ne na laboratorijskom WAN-u ukazuje na isporuku ili srednju politiku, a sljedeći poziv je vlasniku uzvodne ivice. Nije viđeno nigdje znači da su testni tuple, izvor ili put pogrešni prije bilo kakvog pitanja o vatrozidu.

Odsustvo dokaza u jednom snimku nije dokaz vatrozida. To je granični rezultat koji vam kaže koji uređaj sljedeće pregledati.

Ne dopustite da lokalni NAT sakrije odgovor

Lokalno pravilo postaje zanimljivo tek nakon što se dolazni saobraćaj potvrdi. Potvrdite da je DNAT cilj stvarna adresa i port VPN listenera, da je prosljeđivanje omogućeno za odgovarajuću familiju i da odgovor izlazi kroz interfejs kroz koji je zahtjev stigao. Pravilo koje prepisuje odredište ali ne povratni put proizvodi isti timeout kao odbačen paket.

Zadržite sigurnost porta i produkcijsku predaju dok istražujete. Zamjena rutera ili lažiranje njegove MAC adrese radi zaobilaženja kontrola priključenja mijenja dijagnostiku za prekid rada. Zrcalni port ili odobreni snimak daje istu vidljivost bez isključivanja servisa koji dijele vezu.

Završite mapom vlasništva: odredište, uređaj koji isporučuje, uređaj koji filtrira, laboratorijski ulaz i listener. Ta mapa čini sljedeći pregled prosljeđivanja portova malim i ne autentifikuje ništa o samom VPN-u.