Të përcjellim gjithçka te një host i vetëm apo të rishkruajmë edhe portën?

Përcjellja e gjithçkaje te serveri juaj VPN mund të përshkruajë dy rregulla shumë të ndryshme. Njëra ndryshon adresën e destinacionit dhe ruan portën hyrëse; tjetra rishkruan edhe portën në një dëgjues të vetëm. Ekspozimi nuk është i njëjtë, dhe vendimi varet nga tre kushte, jo nga etiketa që përdor ndërfaqja e ruterit.

Kushti i parë: cilat fusha ndryshon rregulli?

Përkthimi i adresës së destinacionit dhe përkthimi i portës së destinacionit janë operacione të veçanta. Një rregull mund të kryejë vetëm të parin ose të dy bashkë, dhe diferenca vendos cilat shërbime në hostin e synuar janë të arritshme. Shumica e ndërfaqeve të prodhuesve e fshehin atë zgjedhje pas një etikete të vetme. Leximi i rregullit bazë është mënyra e vetme për të ditur cilën morët.

Lexoni rregullin aktual, jo etiketën e menusë. Një ekran që thotë DMZ ose të gjitha portat përshkruan një qëllim, jo një rrugë pakete. Dokumentacioni i Netfilter NAT i ndan të dy përkthimet, dhe ai është modeli mendor i saktë edhe kur ruteri përpara jush është një pajisje konsumi.

Dy fusha, dy pyetje të ndryshme.

Kushti i dytë: çfarë dëgjon në portat e ruajtura?

Nëse rregulli ruan portën hyrëse, çdo portë që vjen dorëzohet te i njëjti numër në hostin VPN, në varësi të politikës hyrëse të atij hosti. Kjo përfshin shërbime që mund të keni harruar se po dëgjonin. Rregulli nuk i krijoi ato shërbime, dhe tani është rruga drejt tyre.

Nëse rregulli e rishkruan portën, ndodh e kundërta: shumë porta të jashtme shemben në një dëgjues të vetëm, dhe asgjë tjetër në host nuk është e arritshme përmes atij rregulli. Rishkrimi në një portë fikse nuk bëhet akses për çdo shërbim lokal vetëm sepse një interval i gjerë portash të jashtme përputhej me të. Dy modelet dështojnë në drejtime të ndryshme, dhe mënyra e dështimit është ajo që zgjidhni. Zgjidhni atë me dështimin e të cilit mund të jetoni.

Bëni inventarin e dëgjuesit përpara se të zgjidhni.

Kushti i tretë: sa i gjerë është hyrja e jashtme?

Publikimi i një portë të zgjedhur është më i ngushtë se publikimi i një intervali, dhe të dy janë më të ngushtë se pranimi i gjithçkaje. Gjerësia e jashtme dhe përkthimi i brendshëm janë zgjedhje të pavarura, dhe pjesa më e madhe e konfuzionit vjen nga ndryshimi i njërës ndërsa përshkruhet tjetra.

Për një hyrje VPN të zakonshme, publikoni transportin dhe dëgjuesin që modeli ka vërtet nevojë. Më pas rishikoni tre gjëra të tjera: mapimin efektiv të ruterit, rregullat hyrëse të vetë hostit të synuar dhe nëse një dëgjues IPv6 publikon të njëjtin shërbim. Një rregull që duket i ngushtë në një familje adresash mund të jetë i gjerë në tjetrën.

Shkruani pikën përfundimtare të përkthyer plotësisht: protokoll, portë e jashtme, adresë e brendshme, portë e brendshme.

Çfarë nuk ju jep asnjëri prej rregullave

Asnjëri prej dy modeleve nuk provon se shërbimi është i lirë nga dobësitë, dhe asnjëri nuk mbron disponueshmërinë. Vërtetimi, përditësimet dhe rikuperimi mbeten në fushëveprim pavarësisht sa i ngushtë është mapimi i portave. Një mapim i ngushtë zvogëlon sipërfaqen e arritshme; nuk e bën dëgjuesin të sigurt.

Një rregull i gjerë që tashmë mbështet një shërbim tjetër legjitim është varësi, jo thjesht gabim. Bëni inventarin e tij dhe zëvendësojeni përmes pronarit të tij përpara se ta hiqni, përndryshe ndryshimi do të duket si një ndërprerje e shkaktuar nga një rregullim sigurie. I njëjti kujdes vlen për një rishkrim në portë fikse nga i cili diçka tjetër varet në heshtje.

Analiza e ekspozimit ka të bëjë me atë që mund të arrijë çfarë, jo me etiketën në ekran.

Vendosni me pikën përfundimtare të përkthyer në dorë

Shkruani rezultatin e rregullit si një fjali: porta UDP publike X arrin adresën Y portën Z. Pastaj pyesni cilat shërbime në Y mund të përgjigjen në Z dhe kujt i përkasin.

nft list ruleset

Nëse përgjigjja është dëgjuesi i vetëm që kishit ndërmend, rregulli po bën punën e vet.

Nëse përgjigjja është disa, keni zgjedhur përcjellje për të gjithë hostin, pavarësisht nëse ndërfaqja e quajti kështu apo jo.