Preposielať všetko na jeden host alebo prepísať aj port?

Preposielanie všetkého na váš server VPN môže opisovať dve veľmi odlišné pravidlá. Jedno mení cieľovú adresu a zachováva prichádzajúci port; druhé prepisuje aj port na jedného poslucháča. Expozícia nie je rovnaká a rozhodnutie závisí od troch podmienok, nie od označenia, ktoré používa rozhranie smerovača.

Prvá podmienka: ktoré polia pravidlo mení?

Preklad cieľovej adresy a preklad cieľového portu sú samostatné operácie. Pravidlo môže vykonať len prvú alebo obe spolu, a rozdiel určuje, ktoré služby na cieľovom hostiteľovi sú dostupné. Väčšina rozhraní výrobcov skrýva túto voľbu za jediným označením. Čítanie podkladového pravidla je jediný spôsob, ako zistiť, ktoré ste dostali.

Čítajte skutočné pravidlo, nie označenie v ponuke. Obrazovka s nápisom DMZ alebo všetky porty opisuje zámer, nie cestu paketu. Dokumentácia Netfilter NAT oba preklady oddeľuje a to je správny mentálny model, aj keď je smerovač pred vami spotrebný prístroj.

Dve polia, dve rôzne otázky.

Druhá podmienka: čo počúva na zachovaných portoch?

Ak pravidlo zachová prichádzajúci port, každý prichádzajúci port sa doručí na rovnaké číslo na hostiteľovi VPN, v súlade so vstupnou politikou tohto hostiteľa. Zahŕňa to služby, o ktorých ste možno zabudli, že počúvajú. Pravidlo tieto služby nevytvorilo a teraz je k nim cestou.

Ak pravidlo port prepisuje, deje sa opak: mnoho vonkajších portov sa zleje do jediného poslucháča a nič ďalšie na hostiteľovi nie je týmto pravidlom dostupné. Prepis na pevný port sa nestane prístupom ku každej miestnej službe len preto, že mu zodpovedal široký rozsah vonkajších portov. Oba návrhy zlyhávajú rôznymi smermi a režim zlyhania je to, čo si vyberáte. Vyberte ten, ktorého zlyhanie unesiete.

Pred voľbou si poslucháča zmapujte.

Tretia podmienka: aký široký je vonkajší vstup?

Zverejnenie jedného vybraného portu je užšie než zverejnenie rozsahu a oboje je užšie než prijať všetko. Vonkajšia šírka a vnútorný preklad sú nezávislé voľby a väčšina zmätku vzniká tým, že sa mení jedno, zatiaľ čo sa opisuje druhé.

Pre bežný vstup VPN zverejnite transport a poslucháča, ktoré návrh skutočne potrebuje. Potom skontrolujte ďalšie tri veci: efektívne mapovanie smerovača, vlastné vstupné pravidlá cieľového hostiteľa a či poslucháč IPv6 zverejňuje rovnakú službu. Pravidlo, ktoré vyzerá úzko v jednej rodine adries, môže byť v druhej široké.

Zapíšte preložený koncový bod celý: protokol, vonkajší port, vnútorná adresa, vnútorný port.

Čo vám nedá ani jedno pravidlo

Žiadny z oboch návrhov nedokazuje, že služba nemá zraniteľnosti, a žiadny nechráni dostupnosť. Autentifikácia, aktualizácie a obnova zostávajú v rozsahu bez ohľadu na to, aké úzke je mapovanie portov. Úzke mapovanie zmenšuje dostupný povrch; poslucháča bezpečným nerobí.

Široké pravidlo, ktoré už podporuje inú legitímnu službu, je závislosť, nie len chyba. Zmapujte ho a nahraďte ho cez jeho vlastníka, skôr než ho odstránite, inak bude zmena vyzerať ako výpadok spôsobený bezpečnostnou opravou. Rovnaká opatrnosť platí pre prepis na pevný port, na ktorom ticho závisí niečo iné.

Analýza expozície je o tom, čo sa kam môže dostať, nie o označení na obrazovke.

Rozhodnite s preloženým koncovým bodom v ruke

Zapíšte výsledok pravidla ako vetu: verejný port UDP X dosiahne adresu Y, port Z. Potom sa opýtajte, ktoré služby na Y môžu odpovedať na Z a komu patria.

nft list ruleset

Ak je odpoveďou jediný poslucháč, ktorý ste zamýšľali, pravidlo robí svoju prácu.

Ak je odpoveďou niekoľko, zvolili ste preposielanie na celého hostiteľa, či to rozhranie nazvalo tak alebo nie.