A e dorëzon vërtet routeri i sipërm portat VPN hyrëse?

Tre kushte vendosin nëse një ridrejtim porti në routerin e laboratorit publikon diçka: çfarë dorëzon skaji i sipërm, çfarë politike zbaton dhe nëse përgjigjet kthehen në të njëjtën rrugë. Një adresë që duket publike nuk i përgjigjet asnjërës. As një prefiks /30 as një lidhje dalëse që funksionon. Renditni ato kushte përpara se të ndryshoni NAT, përndryshe rregulli lokal do të duket i prishur ndërsa bllokimi ndodhet dy kërcime larg.

Tre përgjigje vendosin te kush eskalohet

Pronari i skajit të sipërm mund ta përshkruajë dorëzimin në një nga tre mënyrat. Destinacioni dorëzohet drejtpërdrejt në ndërfaqen tuaj, një prefiks i veçantë rutohet te kërcimi juaj i radhës, ose diçka përpara përkthen adresën para se të arrijë tek ju. Çdo përgjigje emërton një pajisje tjetër që duhet të lejojë lidhjen hyrëse, dhe një ekip tjetër që duhet telefonuar kur kjo nuk ndodh.

Filtrimi është ndryshorja e katërt dhe është i pavarur nga të tre. Një rrjet mund të filtrojë trafikun që mban adresën e tij publike, dhe një përkthyes nuk është automatikisht kufiri i politikës. Pyetni për adresat burimore, transportet dhe portat e lejuara njëkohësisht me dorëzimin, sepse një port i ridrejtuar që skaji e hedh nuk arrin kurrë te rregulli juaj.

Lexojeni dorëzimin si kontratë shërbimi

Shkruani pesë vlera përpara se të prekni routerin e laboratorit: adresa e ndërfaqes e caktuar, gjatësia e prefiksit, kërcimi i radhës, adresa e destinacionit që do të përdorin klientët e jashtëm, dhe protokolli e porta të sakta. Më interesante është destinacioni, sepse mund të mos jetë fare një adresë e konfiguruar në pajisjen tuaj. Nëse skaji i sipërm pret që klientët të arrijnë një adresë të përkthyer, DNAT lokal duhet të përputhet me atë kontratë, jo me adresën e ndërfaqes që shihni.

Diskutimi i IETF për sjelljen e mureve të zjarrit është një kujtesë e dobishme se filtrimi dhe përkthimi janë funksione të ndara. Shpjegon pse një router mund të zbatojë politikë hyrëse pa i fshehur adresat, dhe pse NAT diku sipër nuk provon se filtrimi ndodh atje. Trajtojeni dorëzimin si një përshkrim shërbimi me pronar dhe proces ndryshimi.

Vëzhgoni një përpjekje në të dy kufijtë

Një përpjekje e ngushtë dhe e miratuar, e korreluar në dy pika, zëvendëson një grumbull hamendjesh. Ekzekutoni një kapje në ndërfaqen WAN të laboratorit për tuple e saktë, dhe kërkojini pronarit të skajit të sipërm të vëzhgojë të njëjtin tuple në skaj. Mbani destinacionin, protokollin, portën, burimin dhe vulën kohore identike midis dy pamjeve.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Lexoni çiftin e rezultateve si një vendim. Parë në skaj dhe parë në WAN-in e laboratorit do të thotë që dorëzimi dhe politika e skajit kalojnë të dyja, ndaj vazhdoni me dëgjuesin ose DNAT. Parë në skaj por jo në WAN-in e laboratorit tregon dorëzim ose politikë të ndërmjetme, dhe telefonata e radhës është për pronarin e skajit të sipërm. Nuk është parë askund do të thotë që tuple e provës, burimi ose rruga janë të gabuara përpara çdo pyetjeje për murin e zjarrit.

Mungesa e provave në një kapje nuk është provë e një muri zjarri. Është një rezultat kufiri që ju tregon cilën pajisje të inspektoni më pas.

Mos lejoni që NAT lokal të fshehë përgjigjen

Rregulli lokal bëhet interesant vetëm pasi konfirmohet hyrja. Konfirmoni që objektivi i DNAT është adresa dhe porta reale e dëgjuesit VPN, që përcjellja është aktivizuar për familjen përkatëse, dhe që përgjigjja del përmes ndërfaqes në të cilën mbërriti kërkesa. Një rregull që rishkruan destinacionin por jo rrugën e kthimit prodhon të njëjtin afat kohor si një paketë e hedhur.

Ruani sigurinë e portave dhe dorëzimin e prodhimit ndërsa hetoni. Zëvendësimi i routerit ose falsifikimi i adresës së tij MAC për të anashkaluar kontrollet e lidhjes ndërron një diagnozë me një ndërprerje. Një portë pasqyrë ose një kapje e miratuar jep të njëjtën dukshmëri pa shkëputur shërbimet që ndajnë lidhjen.

Përfundoni me hartën e pronësisë: destinacioni, pajisja dorëzuese, pajisja filtruese, hyrja e laboratorit dhe dëgjuesi. Ajo hartë e bën të vogël rishikimin e radhës të ridrejtimit të portave, dhe nuk vërteton asgjë për vetë VPN-në.