Pse NAT-i i shtëpisë nuk e mbron ndërfaqen tuaj VPN

Laptopët pas një router shtëpie pa përcjellje portesh ende pranojnë lidhje SSH që vijnë përmes VPN. Kjo nuk është kundërshti, sepse dy pajisje të ndryshme gjykojnë dy paketa të ndryshme. Router-i përcjell transportin e kriptuar, dhe host-i vendos çfarë të bëhet me paketën e dekriptuar që arrin në ndërfaqen e tij të tunelit. Mbajtja e këtyre dy vendimeve të ndara është i gjithë ushtrimi.

Router-i e përcjell tunelin, host-i gjykon paketën

Vizatoni rrugën nga burimi i largët te shërbimi përpara se të shikoni një rregull të vetëm. Segmenti i jashtëm është transporti VPN, i trajtuar nga router-i dhe gateway-i. Segmenti i brendshëm fillon kur pika fundore heq shtresën e tunelit dhe host-i merr një paketë të adresuar në adresën e tij VPN.

Bashkoni këto dy segmente dhe router-i merr meritën për një vendim që merr host-i. Një faqe përcjelljeje portesh ose një regjistër router-i përshkruan vetëm biseda të jashtme, dhe asnjëra nuk thotë se çfarë trafiku të dekriptuar do të pranojë host-i. Host-i zbaton politikën e vet të hyrjes mbi paketën e brendshme, njësoj si mbi çdo paketë që arrin në një ndërfaqe. Është pikërisht në atë politikë që çështja e ekspozimit zgjidhet vërtet.

Një dëgjues wildcard nuk është shërbim publik

Në Linux, lidhja me INADDR_ANY nënkupton çdo adresë lokale, kështu që një shërbim mund të përgjigjet në një ndërfaqe tuneli që nuk e ka emërtuar kurrë. Referenca e socket-eve IP e përshkruan atë lidhje, dhe ia vlen të lexohet përpara se të nxirrni përfundime nga një listë dëgjuesish. Një zë wildcard është fakt për socket-in, jo pohim për arritshmërinë.

Dy rreshtat më poshtë janë i njëjti shërbim në dy lidhje të ndryshme, dhe ndryshimi është e gjithë përgjigjja për atë nëse ndërfaqja ka rëndësi. Lexoni në cilën adresë qëndron socket-i përpara çdo gjëje tjetër.

ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))

Emërtoni rregullimin që mund të arrinte portën

Tre rregullime vendosin një paketë në atë ndërfaqe, dhe kanë pronarë të ndryshëm. Emërtimi i atij të saktit vendos kush duhet të ndryshojë një politikë.

Një rezultat shfletuesi që tregon një adresë dalëse publike nuk thotë asgjë për asnjë nga të tre, sepse përshkruan si del trafiku dalës dhe jo çfarë lejohet për trafikun hyrës. Punoni mbrapsht nga dëgjuesi dhe adresa burimore në regjistrin e shërbimit. Nëse burimi është një peer tjetër i tunelit, politika e gateway-it është dokumenti interesant. Nëse është një adresë e përkthyer, gjeni përkthimin përpara se të ndryshoni një rregull.

Kufizoni shërbimin në rrugën që synuat

Nëse SSH nevojitet vetëm nga një rrugë administrimi, shkruajeni atë rrugë si diapazon burimi plus një ndërfaqe. Pastaj kufizoni rregullat hyrëse të host-it sipas ndërfaqes, destinacionit dhe burimit në vend të emrit të rrjetit, pasi një emër që duket privat mund të përfaqësojë çdo adresë. Lini një rrugë për personin që do të zgjidhë problemin e radhës.

nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter input

Një rregull që emërton ndërfaqen e tunelit dhe diapazonin e administrimit e shpreh qëllimin në një vend të vetëm. Krahasojeni me një rregull të shkruar për rrjetin Wi-Fi, i cili nuk thotë asgjë për trafikun e dekriptuar të tunelit. Kur dy shtresat nuk bien dakord, politika e host-it është ajo që takon paketa.

Lërini hyrjet dhe arnimet saktësisht aty ku janë; arritja e një porte nuk ka qenë kurrë e njëjta gjë me lejen për ta përdorur atë. Regjistroni familjen e adresave dhe kohën për çdo burim të panjohur, dhe hetoni përpara se të fajësoni një veçori ose një cenueshmëri. Një rregull që pranon çdo peer të tunelit është një dizajn tjetër nga ai që pranon një nënrrjet administrimi, dhe asnjë rresht regjistri nuk do të thotë cili ishte i synuar.

Pranojeni rregullimin me një sukses dhe një refuzim

Provoni të dyja gjysmat: një lidhje e miratuar ia del dhe një rrugë e përjashtuar refuzohet. Refuzimi është gjysma që njerëzit e kapërcejnë, dhe është ajo që tregon se rregulli punon në vend që të qëndrojë pranë një vlerë të paracaktuar lejuese. Testoni nga ana e përjashtuar në vend që të arsyetoni për të.

Përsëritni çiftin pas një rilidhjeje, sepse një tunel që kthehet me një emër tjetër ndërfaqeje mund të anashkalojë në heshtje një rregull të kufizuar për atë të vjetrin. Kufiri që ka rëndësi është ai që host-i zbaton mbi paketat që merr vërtet.