Да ли преусмерити све на један домаћин или преписати и порт?

Преусмеравање свега на ваш VPN сервер може описивати два веома различита правила. Једно мења одредишну адресу и задржава долазни порт; друго још преписује порт на једног јединог слушаоца. Изложеност није иста, а одлука зависи од три услова, а не од ознаке коју користи интерфејс рутера.

Први услов: која поља правило мења?

Превођење одредишне адресе и превођење одредишног порта су одвојене операције. Правило може да изврши само прву или обе заједно, а разлика одређује које су услуге на циљном домаћину достижне. Већина интерфејса произвођача крије тај избор иза једне ознаке. Читање основног правила једини је начин да сазнате које сте добили.

Читајте стварно правило, а не ознаку у менију. Екран на ком пише DMZ или сви портови описује намеру, а не пут пакета. Netfilter NAT документација раздваја два превођења и то је исправан мисаони модел чак и када је рутер пред вама потрошачки уређај.

Два поља, два различита питања.

Други услов: шта слуша на задржаним портовима?

Ако правило задржи долазни порт, сваки долазни порт се доставља на исти број на домаћину VPN, у складу са улазном политиком тог домаћина. То укључује услуге за које сте можда заборавили да слушају. Правило није створило те услуге и сада је оно пут до њих.

Ако правило преписује порт, дешава се супротно: многи спољни портови се сливају на једног слушаоца и ништа друго на домаћину није достижно кроз то правило. Преписивање на фиксни порт не постаје приступ свакој локалној услузи само зато што му је одговарао широк распон спољних портова. Два дизајна не успевају у различитим смеровима, а начин неуспеха је оно што бирате. Изаберите онај чији неуспех можете да поднесете.

Попишите слушаоца пре него што изаберете.

Трећи услов: колико је широк спољни улаз?

Објављивање једног изабраног порта уже је од објављивања распона и обоје је уже од прихватања свега. Спољна ширина и унутрашње превођење су независни избори, а највише забуне настаје када мењате једно док описујете друго.

За обичан улаз VPN објавите транспорт и слушаоца који дизајн заиста захтева. Затим прегледајте још три ствари: ефективно мапирање рутера, сопствена улазна правила циљног домаћина и да ли слушалац IPv6 објављује исту услугу. Правило које изгледа уско у једној фамилији адреса може бити широко у другој.

Запишите преведену крајњу тачку у целини: протокол, спољни порт, унутрашња адреса, унутрашњи порт.

Шта вам не даје ниједно правило

Ниједан од два дизајна не доказује да је услуга без рањивости и ниједан не штити доступност. Аутентикација, ажурирања и опоравак остају у обухвату без обзира на то колико је мапирање портова уско. Уско мапирање смањује достижну површину; не чини слушаоца безбедним.

Широко правило које већ подржава другу легитимну услугу је зависност, а не само грешка. Попишите га и замените га преко његовог власника пре уклањања, иначе ће промена изгледати као прекид који је изазвала безбедносна исправка. Исти опрез важи за преписивање на фиксни порт на који се нешто друго тихо ослања.

Анализа изложености говори о томе шта може да стигне до чега, а не о ознаци на екрану.

Одлучите са преведеном крајњом тачком у руци

Запишите резултат правила као реченицу: јавни UDP порт X достиже адресу Y порт Z. Затим питајте које услуге на Y могу да одговоре на Z и коме припадају.

nft list ruleset

Ако је одговор онај један слушалац који сте наменили, правило ради свој посао.

Ако је одговор неколико, изабрали сте преусмеравање на цео домаћин, без обзира на то да ли је интерфејс то тако назвао.