Doručuje nadradený router skutočne prichádzajúce porty VPN?

Tri podmienky rozhodujú, či presmerovanie portu na laboratórnom routeri niečo zverejní: čo dodáva horná hrana, akú politiku uplatňuje a či sa odpovede vracajú tou istou cestou. Adresa, ktorá vyzerá verejne, neodpovedá na žiadnu z nich. Ani prefix /30, ani funkčné odchádzajúce spojenie. Zoraďte tieto podmienky pred zmenou NAT, inak bude lokálne pravidlo vyzerať pokazené, keď blok sedí dva skoky ďalej.

Tri odpovede rozhodujú, kam eskalujete

Vlastník hornej hrany môže odovzdanie opísať jedným z troch spôsobov. Cieľ sa doručuje priamo na vaše rozhranie, samostatný prefix sa smeruje na váš ďalší skok, alebo niečo vpredu prekladá adresu predtým, než k vám dorazí. Každá odpoveď vymenúva iné zariadenie, ktoré musí povoliť prichádzajúce spojenie, a iný tím, ktorému treba zavolať, keď sa tak nestane.

Filtrovanie je štvrtá premenná a je nezávislé od všetkých troch. Sieť môže filtrovať prevádzku, ktorá si zachováva svoju verejnú adresu, a prekladač nie je automaticky hranicou politiky. Pýtajte sa na povolené zdrojové adresy, transporty a porty súčasne s doručením, pretože presmerovaný port, ktorý hrana zahodí, sa nikdy nedostane k vášmu pravidlu.

Čítajte odovzdanie ako zmluvu o službe

Zapíšte päť hodnôt, než sa dotknete laboratórneho routera: pridelenú adresu rozhrania, dĺžku prefixu, ďalší skok, cieľovú adresu, ktorú budú používať externí klienti, a presný protokol a port. Zaujímavý je cieľ, pretože to vôbec nemusí byť adresa nakonfigurovaná na vašom zariadení. Ak horná hrana očakáva, že klienti dosiahnu preloženú adresu, miestny DNAT musí zodpovedať tejto zmluve, a nie adrese rozhrania, ktorú vidíte.

Diskusia IETF o správaní firewallov je užitočná pripomienka, že filtrovanie a preklad sú oddelené funkcie. Vysvetľuje, prečo router môže presadzovať vstupnú politiku bez skrývania adries a prečo NAT niekde vyššie nedokazuje, že sa filtrovanie deje práve tam. Berte odovzdanie ako opis služby s vlastníkom a procesom zmeny.

Sledujte jeden pokus na oboch hraniciach

Jeden úzky, schválený pokus korelovaný v dvoch bodoch nahrádza kopu dohadov. Spustite zachytenie na laboratórnom WAN rozhraní pre presný tuple a požiadajte vlastníka hornej hrany, aby ten istý tuple pozoroval na hrane. Udržte cieľ, protokol, port, zdroj a časovú pečiatku identické medzi oboma pohľadmi.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Čítajte dvojicu výsledkov ako rozhodnutie. Videné na hrane a videné na laboratórnom WAN znamená, že doručenie aj hraničná politika prechádzajú, takže pokračujte s listenerom alebo DNAT. Videné na hrane, ale nie na laboratórnom WAN, ukazuje na doručenie alebo medziľahlú politiku a ďalším hovorom je vlastník hornej hrany. Nikde nevidené znamená, že testovací tuple, zdroj alebo cesta sú nesprávne ešte pred akoukoľvek otázkou na firewall.

Neprítomnosť dôkazu v jednom zachytení nie je dôkazom firewallu. Je to hraničný výsledok, ktorý vám povie, ktoré zariadenie preskúmať ďalej.

Nenechajte miestny NAT skryť odpoveď

Lokálne pravidlo sa stáva zaujímavým až po potvrdení vstupu. Potvrďte, že cieľom DNAT je skutočná adresa a port VPN listenera, že presmerovanie je zapnuté pre príslušnú rodinu a že odpoveď odchádza rozhraním, ktorým požiadavka prišla. Pravidlo, ktoré prepisuje cieľ, ale nie spiatočnú cestu, vytvára rovnaký časový limit ako zahodený paket.

Počas vyšetrovania zachovajte zabezpečenie portov a produkčné odovzdanie. Výmena routera alebo falšovanie jeho MAC adresy na obídenie pripojovacích kontrol vymieňa diagnostiku za výpadok. Zrkadlový port alebo schválené zachytenie dáva rovnakú viditeľnosť bez odpojenia služieb, ktoré zdieľajú linku.

Skončite mapou vlastníctva: cieľ, zariadenie, ktoré doručuje, zariadenie, ktoré filtruje, laboratórny vstup a listener. Táto mapa robí ďalšiu revíziu presmerovania portov malou a nič neautentifikuje o samotnom VPN.