Vidarebefordra allt till en värd eller skriva om porten också?

Att vidarebefordra allt till din VPN-server kan beskriva två mycket olika regler. Den ena ändrar destinationsadressen och behåller den inkommande porten; den andra skriver också om porten till en enda lyssnare. Exponeringen är inte densamma, och beslutet beror på tre villkor, inte på etiketten som routerns gränssnitt använder.

Villkor ett: vilka fält ändrar regeln?

Översättning av destinationsadress och översättning av destinationsport är separata operationer. En regel kan utföra bara den första eller båda tillsammans, och skillnaden avgör vilka tjänster på målvärden som är nåbara. De flesta leverantörsgränssnitt döljer det valet bakom en enda etikett. Att läsa den underliggande regeln är det enda sättet att veta vilken du fick.

Läs den faktiska regeln i stället för menyetiketten. En skärm som säger DMZ eller alla portar beskriver en avsikt, inte en paketväg. Netfilter NAT-dokumentationen skiljer de två översättningarna, och det är rätt tankemodell även när routern framför dig är en konsumentprodukt.

Två fält, två olika frågor.

Villkor två: vad lyssnar på de bevarade portarna?

Om regeln behåller den inkommande porten levereras varje ankommande port till samma nummer på VPN-värden, med förbehåll för den värdens ingångspolicy. Det omfattar tjänster du kanske glömt att de lyssnade. Regeln skapade inte dessa tjänster, och den är nu vägen till dem.

Om regeln skriver om porten händer det motsatta: många yttre portar kollapsar till en enda lyssnare, och inget annat på värden är nåbart genom den regeln. En omskrivning till fast port blir inte åtkomst till varje lokal tjänst bara för att ett brett intervall av yttre portar passade den. De två designerna misslyckas i olika riktningar, och feltillståndet är det du väljer. Välj den vars fel du kan leva med.

Inventera lyssnaren innan du väljer.

Villkor tre: hur bred är den yttre ingången?

Att publicera en vald port är smalare än att publicera ett intervall, och båda är smalare än att acceptera allt. Den yttre bredden och den inre översättningen är oberoende val, och det mesta av förvirringen kommer av att ändra den ena medan man beskriver den andra.

För en vanlig VPN-ingång, publicera transporten och lyssnaren som designen faktiskt behöver. Granska sedan tre saker till: routerns effektiva mappning, målvärdens egna ingångsregler och om en IPv6-lyssnare publicerar samma tjänst. En regel som ser smal ut i en adressfamilj kan vara bred i den andra.

Skriv den översatta slutpunkten fullt ut: protokoll, yttre port, inre adress, inre port.

Vad ingen av reglerna ger dig

Ingen av de två designerna bevisar att tjänsten är fri från sårbarheter, och ingen av dem skyddar tillgängligheten. Autentisering, uppdateringar och återställning ligger kvar i omfattningen oavsett hur smal portmappningen är. En smal mappning minskar den nåbara ytan; den gör inte lyssnaren säker.

En bred regel som redan stöder en annan legitim tjänst är ett beroende, inte bara ett misstag. Inventera den och ersätt den via ägaren innan du tar bort den, annars kommer ändringen att se ut som ett avbrott orsakat av en säkerhetsrättelse. Samma försiktighet gäller en omskrivning till fast port som något annat tyst förlitar sig på.

Exponeringsanalys handlar om vad som kan nå vad, inte om etiketten på skärmen.

Bestäm med den översatta slutpunkten i handen

Skriv resultatet av regeln som en mening: offentlig UDP-port X når adress Y port Z. Fråga sedan vilka tjänster på Y som kan svara på Z och vem som äger dem.

nft list ruleset

Om svaret är den enda lyssnare du avsåg, gör regeln sitt jobb.

Om svaret är flera, har du valt vidarebefordran till hela värden, oavsett om gränssnittet kallade det så eller inte.