Kwa nini NAT ya nyumbani haikulindi kiolesura chako cha VPN

Laptops zilizo nyuma ya ruta ya nyumbani bila uelekezaji wa bandari bado zinakubali miunganisho ya SSH inayofika kupitia VPN. Hiyo si kinzani, kwa sababu vifaa viwili tofauti huhukumu pakiti mbili tofauti. Ruta husambaza usafirishaji uliosimbwa, na mwenyeji huamua nini cha kufanya na pakiti iliyofunuliwa inayofika kwenye kiolesura chake cha handaki. Kutenganisha maamuzi hayo mawili ndio zoezi lote.

Ruta husambaza handaki, mwenyeji huhukumu pakiti

Chora njia kutoka chanzo cha mbali hadi huduma kabla ya kuangalia kanuni moja. Sehemu ya nje ni usafirishaji wa VPN, inayoshughulikiwa na ruta na lango. Sehemu ya ndani huanza wakati kituo cha mwisho kinaondoa tabaka la handaki na mwenyeji anapokea pakiti iliyoelekezwa kwenye anwani yake ya VPN.

Unganisha sehemu hizo mbili na ruta inapata sifa kwa uamuzi ambao mwenyeji hufanya. Ukurasa wa uelekezaji wa bandari au kumbukumbu ya ruta hufafanua mazungumzo ya nje pekee, na hakuna hata moja inayosema ni trafiki gani iliyofunuliwa ambayo mwenyeji atakubali. Mwenyeji hutumia sera yake ya kuingia kwenye pakiti ya ndani, kama vile kwa pakiti yoyote inayofika kwenye kiolesura. Ni katika sera hiyo ambapo swali la mfiduo hutatuliwa kwa kweli.

Msikilizaji wa wildcard si huduma ya umma

Kwenye Linux, kufungwa kwa INADDR_ANY kunamaanisha kila anwani ya ndani, kwa hivyo huduma inaweza kujibu kwenye kiolesura cha handaki ambacho haikuwahi kukitaja. Marejeo ya soketi za IP yanafafanua ufungaji huo, na inafaa kusoma kabla ya kutoa hitimisho kutoka kwenye orodha ya wasikilizaji. Ingizo la wildcard ni ukweli kuhusu soketi, si madai kuhusu ufikivu.

Mistari miwili hapa chini ni huduma hiyo hiyo katika ufungaji mbili tofauti, na tofauti ndio jibu lote kwa kama kiolesura kina umuhimu. Soma soketi iko kwenye anwani gani kabla ya kitu kingine chochote.

ss -lntp "sport = :22"
LISTEN 0 4096 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=812,fd=3))
LISTEN 0 4096 10.8.0.6:22 0.0.0.0:* users:(("sshd",pid=812,fd=4))

Taja mpangilio ambao ungeweza kufikia bandari

Mipangilio mitatu huweka pakiti kwenye kiolesura hicho, na ina wamiliki tofauti. Kutaja ile sahihi huamua nani anapaswa kubadilisha sera.

Tokeo la kivinjari linaloonyesha anwani ya kutoka ya umma halisemi chochote kuhusu yeyote wa watatu, kwa sababu linaeleza jinsi trafiki ya kutoka inavyotoka badala ya kile kinachoruhusiwa kwa trafiki ya kuingia. Fanya kazi kinyume kutoka kwa msikilizaji na anwani ya chanzo kwenye kumbukumbu ya huduma. Ikiwa chanzo ni peer mwingine wa handaki, sera ya lango ni hati ya kuvutia. Ikiwa ni anwani iliyotafsiriwa, pata tafsiri kabla ya kubadilisha kanuni.

Punguza huduma kwa njia uliyokusudia

Ikiwa SSH inahitajika tu kutoka kwa njia ya usimamizi, andika njia hiyo kama masafa ya chanzo pamoja na kiolesura. Kisha punguza kanuni za kuingia za mwenyeji kwa kiolesura, lengwa na chanzo badala ya jina la mtandao, kwa kuwa jina linaloonekana la faragha linaweza kuwakilisha anwani yoyote. Acha njia kwa mtu atakayetatua tatizo linalofuata.

nft add rule inet filter input iifname "tun0" ip saddr 10.8.0.0/24 tcp dport 22 accept
nft list chain inet filter input

Kanuni inayotaja kiolesura cha handaki na masafa ya usimamizi hueleza nia mahali pamoja. Linganisha na kanuni iliyoandikwa kwa mtandao wa Wi-Fi, ambayo haisemi chochote kuhusu trafiki ya handaki iliyofunuliwa. Wakati tabaka mbili hazikubaliani, sera ya mwenyeji ndiyo inayokutana na pakiti.

Acha kuingia na viraka mahali pake hasa; kufikia bandari hakikuwa kamwe sawa na kuruhusiwa kuitumia. Rekodi familia ya anwani na muda kwa chanzo kikowaida kisichojulikana, na chunguza kabla ya kulaumu kipengele au udhaifu. Kanuni inayokubali kila peer wa handaki ni muundo tofauti na ule unaokubali subnet ya usimamizi, na hakuna mstari wa kumbukumbu utakaosema ni ipi iliyokusudiwa.

Kubali marekebisho kwa mafanikio moja na kukataa moja

Thibitisha nusu zote mbili: muunganisho mmoja ulioidhinishwa unafanikiwa na njia moja iliyotengwa inakataliwa. Kukataa ni nusu ambayo watu huiruka, na ndiyo inayoonyesha kuwa kanuni inafanya kazi badala ya kusimama kando ya chaguo-msingi linaloruhusu. Jaribu kutoka upande uliotengwa badala ya kufikiria juu yake.

Rudia jozi baada ya kuunganisha tena, kwa sababu handaki linalorudi na jina lingine la kiolesura linaweza kupita kwa utulivu kanuni iliyopunguzwa kwa ile ya zamani. Mpaka unao umuhimu ni ule ambao mwenyeji hutumia kwa pakiti anazopokea kwa kweli.