Ali nadrejeni usmerjevalnik res dostavi dohodna vrata VPN?

Trije pogoji odločajo, ali bo posredovanje vrat na laboratorijskem usmerjevalniku karkoli objavilo: kaj dostavi zgornji rob, katero politiko uporablja in ali se odgovori vrnejo po isti poti. Naslov, ki izgleda javno, ne odgovori na nobenega od njih. Tudi ne predpona /30 ali delujoča odhodna povezava. Razvrstite te pogoje, preden spremenite NAT, sicer bo lokalno pravilo videti pokvarjeno, ko blokada sedi dva skoka stran.

Trije odgovori odločajo, h komu eskaliramo

Lastnik zgornjega roba lahko predajo opiše na enega od treh načinov. Cilj se dostavi neposredno na vaš vmesnik, ločena predpona se usmeri na vaš naslednji skok, ali nekaj spredaj prevede naslov, preden pride do vas. Vsak odgovor imenuje drugo napravo, ki mora dovoliti dohodno povezavo, in drugo ekipo, ki jo je treba poklicati, ko se to ne zgodi.

Filtriranje je četrta spremenljivka in je neodvisno od vseh treh. Omrežje lahko filtrira promet, ki ohrani svoj javni naslov, prevajalnik pa ni samodejno meja politike. Vprašajte o dovoljenih izvornih naslovih, transportih in vratih hkrati z dobavo, ker posredovana vrata, ki jih rob zavrže, nikoli ne dosežejo vašega pravila.

Berite predajo kot pogodbo o storitvi

Zapišite pet vrednosti, preden se dotaknete laboratorijskega usmerjevalnika: dodeljeni naslov vmesnika, dolžino predpone, naslednji skok, ciljni naslov, ki ga bodo uporabljali zunanji odjemalci, ter točen protokol in vrata. Zanimiv je cilj, ker morda sploh ni naslov, nastavljen na vaši napravi. Če zgornji rob pričakuje, da odjemalci dosežejo prevedeni naslov, mora lokalni DNAT ustrezati tej pogodbi, ne pa naslovu vmesnika, ki ga vidite.

Razprava IETF o vedenju požarnih zidov je koristen opomin, da sta filtriranje in prevajanje ločeni funkciji. Pojasnjuje, zakaj lahko usmerjevalnik uveljavi dohodno politiko, ne da bi skrival naslove, in zakaj NAT nekje zgoraj ne dokazuje, da se filtriranje dogaja tam. Predajo obravnavajte kot opis storitve z lastnikom in postopkom spremembe.

Opazujte en poskus na obeh mejah

En ozek, odobren poskus, koreliran na dveh točkah, nadomesti kup ugibanj. Zaženite zajem na laboratorijskem vmesniku WAN za točen tuple in prosite lastnika zgornjega roba, da opazuje isti tuple na robu. Ohranite cilj, protokol, vrata, vir in časovni žig enake med obema pogledoma.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Berite par rezultatov kot odločitev. Videno na robu in videno na laboratorijskem WAN pomeni, da dobava in robna politika obe uspeta, zato nadaljujte s poslušalcem ali DNAT. Videno na robu, a ne na laboratorijskem WAN, kaže na dobavo ali vmesno politiko, naslednji klic pa velja lastniku zgornjega roba. Nikjer videno pomeni, da so testni tuple, vir ali pot napačni že pred vsakršnim vprašanjem o požarnem zidu.

Odsotnost dokazov v enem zajemu ni dokaz požarnega zidu. To je mejni rezultat, ki vam pove, katero napravo pregledati naslednjo.

Ne pustite lokalnemu NAT, da skrije odgovor

Lokalno pravilo postane zanimivo šele po potrditvi vhoda. Potrdite, da je cilj DNAT dejanski naslov in vrata poslušalca VPN, da je posredovanje omogočeno za ustrezno družino in da odgovor zapusti vmesnik, po katerem je prišla zahteva. Pravilo, ki prepiše cilj, ne pa povratne poti, ustvari enak časovni zamik kot zavržen paket.

Med preiskavo ohranite varnost vrat in produkcijsko predajo. Zamenjava usmerjevalnika ali ponarejanje njegovega naslova MAC za obhod nadzora priklopa zamenja diagnostiko za izpad. Zrcalna vrata ali odobren zajem dajejo enako vidnost brez odklopa storitev, ki si delijo povezavo.

Končajte z zemljevidom lastništva: cilj, naprava, ki dostavlja, naprava, ki filtrira, laboratorijski vhod in poslušalec. Ta zemljevid naredi naslednji pregled posredovanja vrat majhen in ne overi ničesar o samem VPN.