Je, kipanga njia cha juu kweli huwasilisha milango ya VPN inayoingia?

Masharti matatu huamua kama uelekezaji wa mlango kwenye kipanga njia cha maabara utachapisha chochote: nini ukingo wa juu unawasilisha, ni sera gani inayotumia, na kama majibu hurudi kwa njia hiyo hiyo. Anwani inayoonekana ya umma haijibu hata moja. Vilevile kiambishi /30 au muunganisho wa nje unaofanya kazi. Panga masharti hayo kabla ya kubadilisha NAT, vinginevyo sheria ya ndani itaonekana imevunjika wakati kizuizi kiko hatua mbili mbali.

Majibu matatu huamua unamkabidhi nani

Mmiliki wa ukingo wa juu anaweza kuelezea uwasilishaji kwa njia moja kati ya tatu. Lengwa huwasilishwa moja kwa moja kwenye kiolesura chako, kiambishi tofauti huelekezwa kwenye hatua yako inayofuata, au kitu kilicho mbele hutafsiri anwani kabla ya kukufikia. Kila jibu hutaja kifaa tofauti ambacho lazima kiruhusu muunganisho unaoingia, na timu tofauti ya kupiga simu wakati hilo halitokei.

Uchujaji ni kigezo cha nne na haujitegemei na vyote vitatu. Mtandao unaweza kuchuja trafiki inayohifadhi anwani yake ya umma, na mtafsiri si lazima awe mpaka wa sera. Uliza kuhusu anwani za chanzo zinazoruhusiwa, usafiri na milango wakati mmoja na uwasilishaji, kwa sababu mlango ulioelekezwa ambao ukingo huutupa haufiki kamwe kwenye sheria yako.

Soma uwasilishaji kama mkataba wa huduma

Andika thamani tano kabla ya kugusa kipanga njia cha maabara: anwani ya kiolesura iliyotengwa, urefu wa kiambishi, hatua inayofuata, anwani ya lengwa ambayo wateja wa nje watatumia, na itifaki na mlango kamili. Inayovutia ni lengwa, kwa sababu huenda si anwani iliyosanidiwa kwenye kifaa chako hata kidogo. Kama ukingo wa juu unatarajia wateja wafikie anwani iliyotafsiriwa, DNAT ya ndani lazima ilingane na mkataba huo, si anwani ya kiolesura unayoona.

Majadiliano ya IETF kuhusu tabia ya ukuta wa moto ni ukumbusho muhimu kwamba uchujaji na utafsiri ni kazi tofauti. Inaeleza kwa nini kipanga njia kinaweza kutekeleza sera ya kuingia bila kuficha anwani, na kwa nini NAT mahali fulani juu haithibitishi kwamba uchujaji hufanyika hapo. Chukulia uwasilishaji kama maelezo ya huduma yenye mmiliki na mchakato wa mabadiliko.

Angalia jaribio moja kwenye mipaka yote miwili

Jaribio moja jembamba lililoidhinishwa na lililounganishwa katika pointi mbili hubadilisha lundo la makisio. Endesha kunasa kwenye kiolesura cha WAN cha maabara kwa tuple kamili, na omba mmiliki wa ukingo wa juu aangalie tuple hiyo hiyo kwenye ukingo. Weka lengwa, itifaki, mlango, chanzo na muhuri wa muda sawa kati ya maoni mawili.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Soma jozi ya matokeo kama uamuzi. Kuonekana ukingoni na kuonekana kwenye WAN ya maabara kunamaanisha uwasilishaji na sera ya ukingo zote hupita, kwa hiyo endelea na msikilizaji au DNAT. Kuonekana ukingoni lakini si kwenye WAN ya maabara kunaashiria uwasilishaji au sera ya kati, na simu inayofuata ni kwa mmiliki wa ukingo wa juu. Kutokuonekana popote kunamaanisha tuple ya jaribio, chanzo au njia si sahihi kabla ya swali lolote la ukuta wa moto.

Kutokuwepo kwa ushahidi katika kunasa moja si uthibitisho wa ukuta wa moto. Ni tokeo la mpaka linalokuambia kifaa gani cha kuchunguza kinachofuata.

Usiruhusu NAT ya ndani kuficha jibu

Sheria ya ndani inakuwa ya kuvutia baada ya kuingia kuthibitishwa pekee. Thibitisha kwamba lengo la DNAT ni anwani na mlango halisi wa msikilizaji wa VPN, kwamba uelekezaji umewezeshwa kwa familia husika, na kwamba jibu hutoka kupitia kiolesura ambacho ombi liliingia. Sheria inayoandika upya lengwa lakini si njia ya kurudi hutoa muda huo huo wa kuisha kama pakiti iliyotupwa.

Hifadhi usalama wa mlango na uwasilishaji wa uzalishaji unapochunguza. Kubadilisha kipanga njia au kughushi anwani yake ya MAC ili kuepuka vidhibiti vya muunganisho hubadilisha utambuzi na usumbufu. Mlango wa kioo au kunasa kulikoidhinishwa hutoa mwonekano huo huo bila kukata huduma zinazoshiriki kiungo.

Maliza na ramani ya umiliki: lengwa, kifaa kinachowasilisha, kifaa kinachochuja, kuingia kwa maabara na msikilizaji. Ramani hiyo hufanya mapitio yajayo ya uelekezaji wa mlango kuwa madogo, na haithibitishi chochote kuhusu VPN yenyewe.