Preusmeriti vse na enega gostitelja ali prepisati tudi vrata?

Preusmerjanje vsega na vaš strežnik VPN lahko opisuje dve zelo različni pravili. Eno spremeni ciljni naslov in obdrži dohodna vrata; drugo prepiše tudi vrata na enega samega poslušalca. Izpostavljenost ni enaka, odločitev pa je odvisna od treh pogojev, ne od oznake, ki jo uporablja vmesnik usmerjevalnika.

Prvi pogoj: katera polja pravilo spremeni?

Prevajanje ciljnega naslova in prevajanje ciljnih vrat sta ločeni operaciji. Pravilo lahko izvede samo prvo ali obe skupaj, razlika pa odloči, katere storitve na ciljnem gostitelju so dosegljive. Večina vmesnikov proizvajalcev to izbiro skrije za eno samo oznako. Branje osnovnega pravila je edini način, da veste, katero ste dobili.

Berite dejansko pravilo, ne oznake v meniju. Zaslon z napisom DMZ ali vsa vrata opisuje namero, ne poti paketa. Dokumentacija Netfilter NAT ločuje prevajanji in to je pravi miselni model, tudi ko je usmerjevalnik pred vami potrošniška naprava.

Dve polji, dve različni vprašanji.

Drugi pogoj: kaj posluša na ohranjenih vratih?

Če pravilo obdrži dohodna vrata, se vsaka prihajajoča vrata dostavijo na isto številko na gostitelju VPN, v skladu z vhodno politiko tega gostitelja. To vključuje storitve, za katere ste morda pozabili, da poslušajo. Pravilo teh storitev ni ustvarilo in zdaj je pot do njih.

Če pravilo vrata prepiše, se zgodi nasprotno: veliko zunanjih vrat se zlije na enega samega poslušalca in nič drugega na gostitelju ni dosegljivo s tem pravilom. Prepis na fiksna vrata ne postane dostop do vsake lokalne storitve samo zato, ker se je z njim ujemal širok razpon zunanjih vrat. Obe zasnovi odpovedujeta v različnih smereh in prav način odpovedi je tisto, kar izbirate. Izberite tisto, s katerega odpovedjo lahko živite.

Pred izbiro popišite poslušalca.

Tretji pogoj: kako širok je zunanji vhod?

Objavljanje enih izbranih vrat je ožje od objavljanja razpona in oboje je ožje od sprejemanja vsega. Zunanja širina in notranje prevajanje sta neodvisni izbiri, večina zmede pa nastane, ko spreminjate eno, medtem ko opisujete drugo.

Za običajen vhod VPN objavite transport in poslušalca, ki jih zasnova res potrebuje. Nato preglejte še tri stvari: dejansko preslikavo usmerjevalnika, lastna vhodna pravila ciljnega gostitelja in ali poslušalec IPv6 objavlja isto storitev. Pravilo, ki je videti ozko v eni družini naslovov, je lahko v drugi široko.

Zapišite prevedeno končno točko v celoti: protokol, zunanja vrata, notranji naslov, notranja vrata.

Česar vam ne da nobeno pravilo

Nobena od obeh zasnov ne dokazuje, da storitev nima ranljivosti, in nobena ne ščiti razpoložljivosti. Preverjanje pristnosti, posodobitve in obnavljanje ostajajo v obsegu ne glede na to, kako ozka je preslikava vrat. Ozka preslikava zmanjša dosegljivo površino; poslušalca ne naredi varnega.

Široko pravilo, ki že podpira drugo zakonito storitev, je odvisnost, ne le napaka. Popišite ga in ga zamenjajte prek lastnika, preden ga odstranite, sicer bo sprememba videti kot izpad, ki ga je povzročil varnostni popravek. Enaka previdnost velja za prepis na fiksna vrata, na katera se nekaj drugega tiho zanaša.

Analiza izpostavljenosti govori o tem, kaj lahko doseže kaj, ne o oznaki na zaslonu.

Odločite s prevedeno končno točko v roki

Zapišite rezultat pravila kot stavek: javna vrata UDP X dosežejo naslov Y, vrata Z. Nato vprašajte, katere storitve na Y lahko odgovorijo na Z in komu pripadajo.

nft list ruleset

Če je odgovor tisti eni poslušalec, ki ste ga nameravali, pravilo opravlja svoje delo.

Če je odgovor več, ste izbrali preusmerjanje na celega gostitelja, ne glede na to, ali je vmesnik to tako imenoval ali ne.