Да ли надређени рутер заиста испоручује долазне VPN портове?

Три услова одлучују да ли прослеђивање порта на лабораторијском рутеру објављује било шта: шта испоручује горња ивица, коју политику примењује и враћају ли се одговори истим путем. Адреса која изгледа јавно не одговара ни на један од њих. Нити префикс /30 нити исправна одлазна веза. Поређајте те услове пре него што промените NAT, иначе ће локално правило изгледати неисправно док блок стоји два скока даље.

Три одговора одлучују коме ћете ескалирати

Власник горње ивице може описати предају на један од три начина. Одредиште се испоручује директно на ваш интерфејс, засебан префикс се рутира ка вашем следећем скоку, или нешто испред преводи адресу пре него што стигне до вас. Сваки одговор именује други уређај који мора дозволити долазну везу и други тим који треба позвати када се то не догоди.

Филтрирање је четврта променљива и независно је од све три. Мрежа може филтрирати саобраћај који задржава своју јавну адресу, а преводилац није аутоматски граница политике. Питајте о дозвољеним изворним адресама, транспортима и портовима истовремено са испоруком, јер прослеђени порт који ивица одбаци никада не стиже до вашег правила.

Читајте предају као уговор о услузи

Запишите пет вредности пре него што додирнете лабораторијски рутер: додељена адреса интерфејса, дужина префикса, следећи скок, одредишна адреса коју ће користити спољни клијенти и тачни протокол и порт. Занимљиво је одредиште, јер можда уопште није адреса конфигурисана на вашем уређају. Ако горња ивица очекује да клијенти дођу до преведене адресе, локални DNAT мора одговарати том уговору, а не адреси интерфејса коју видите.

IETF расправа о понашању ватрозида корисan је подсетник да су филтрирање и превођење одвојене функције. Објашњава зашто рутер може спровести долазну политику без скривања адреса и зашто NAT негде узводно не доказује да се филтрирање одвија тамо. Третирајте предају као опис услуге са власником и процесом промене.

Посматрајте један покушај на обе ивице

Један уски, одобрени покушај корелиран на две тачке замењује гомилу нагађања. Покрените снимање на лабораторијском WAN интерфејсу за тачан tuple и замолите власника горње ивице да посматра исти tuple на ивици. Држите одредиште, протокол, порт, извор и временску ознаку идентичним између два приказа.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Читајте пар резултата као одлуку. Виђено на ивици и виђено на лабораторијском WAN-у значи да испорука и политика ивице обоје пролазе, па наставите са listener-ом или DNAT-ом. Виђено на ивици али не на лабораторијском WAN-у указује на испоруку или средњу политику, а следећи позив је власнику горње ивице. Није виђено нигде значи да су тестни tuple, извор или пут погрешни пре било каквог питања о ватрозиду.

Одсуство доказа у једном снимку није доказ ватрозида. То је гранични резултат који вам каже који уређај следеће прегледати.

Не дозволите локалном NAT-у да сакрије одговор

Локално правило постаје занимљиво тек након што се долазни саобраћај потврди. Потврдите да је DNAT циљ стварна адреса и порт VPN listener-а, да је прослеђивање омогућено за одговарајућу фамилију и да одговор излази кроз интерфејс кроз који је захтев стигао. Правило које преписује одредиште али не повратни пут производи исти timeout као одбачен пакет.

Задржите безбедност порта и продукцијску предају док истражујете. Замена рутера или лажирање његове MAC адресе ради заобилажења контрола прикључења мења дијагностику за прекид рада. Огледални порт или одобрено снимање даје исту видљивост без искључивања сервиса који деле везу.

Завршите мапом власништва: одредиште, уређај који испоручује, уређај који филтрира, лабораторијски улаз и listener. Та мапа чини следећи преглед прослеђивања портова малим и не аутентификује ништа о самом VPN-у.