అప్‌స్ట్రీమ్ రౌటర్ నిజంగానే ఇన్‌బౌండ్ VPN పోర్టులను పంపిస్తుందా?

ల్యాబ్ రౌటర్‌లో పోర్ట్ ఫార్వర్డ్ ఏదైనా ప్రచురిస్తుందా అనేది మూడు షరతులు నిర్ణయిస్తాయి: పై అంచు ఏమి పంపిస్తుంది, ఏ విధానాన్ని వర్తింపజేస్తుంది, మరియు సమాధానాలు అదే మార్గంలో తిరిగి వస్తాయా. పబ్లిక్‌గా కనిపించే చిరునామా వాటిలో ఏదానికీ సమాధానం ఇవ్వదు. /30 ప్రీఫిక్స్ లేదా పనిచేసే అవుట్‌బౌండ్ కనెక్షన్ కూడా కాదు. NAT మార్చే ముందు ఆ షరతులను క్రమబద్ధం చేయండి, లేకపోతే బ్లాక్ రెండు హాప్‌ల దూరంలో ఉన్నప్పుడు స్థానిక నియమం విరిగినట్లు కనిపిస్తుంది.

మూడు సమాధానాలు మీరు ఎవరికి ఎస్కలేట్ చేయాలో నిర్ణయిస్తాయి

పై అంచు యజమాని హ్యాండ్-ఆఫ్‌ను మూడింటిలో ఒక విధంగా వివరించవచ్చు. గమ్యం నేరుగా మీ ఇంటర్‌ఫేస్‌కు పంపబడుతుంది, ప్రత్యేక ప్రీఫిక్స్ మీ తదుపరి హాప్‌కు రూట్ చేయబడుతుంది, లేదా ముందు ఏదో చిరునామా మీ వద్దకు చేరే ముందు అనువదిస్తుంది. ప్రతి సమాధానం ఇన్‌బౌండ్ కనెక్షన్‌ను అనుమతించాల్సిన వేరే పరికరాన్ని మరియు అలా జరగనప్పుడు కాల్ చేయాల్సిన వేరే బృందాన్ని పేర్కొంటుంది.

ఫిల్టరింగ్ నాల్గవ వేరియబుల్ మరియు ఇది మూడింటికీ స్వతంత్రం. నెట్‌వర్క్ తన పబ్లిక్ చిరునామాను నిలుపుకునే ట్రాఫిక్‌ను ఫిల్టర్ చేయగలదు, మరియు అనువాదకుడు స్వయంచాలకంగా విధాన సరిహద్దు కాదు. అనుమతించిన మూల చిరునామాలు, రవాణా మరియు పోర్టుల గురించి పంపిణీతో పాటే అడగండి, ఎందుకంటే అంచు పడవేసే ఫార్వర్డ్ చేసిన పోర్ట్ మీ నియమానికి ఎప్పటికీ చేరదు.

హ్యాండ్-ఆఫ్‌ను సేవా ఒప్పందంగా చదవండి

ల్యాబ్ రౌటర్‌ను తాకే ముందు ఐదు విలువలు రాయండి: కేటాయించిన ఇంటర్‌ఫేస్ చిరునామా, ప్రీఫిక్స్ పొడవు, తదుపరి హాప్, బాహ్య క్లయింట్‌లు ఉపయోగించే గమ్య చిరునామా, మరియు ఖచ్చితమైన ప్రోటోకాల్ మరియు పోర్ట్. ఆసక్తికరమైనది గమ్యం, ఎందుకంటే అది మీ పరికరంలో కాన్ఫిగర్ చేసిన చిరునామా కాకపోవచ్చు. పై అంచు క్లయింట్‌లు అనువదించిన చిరునామానికి చేరుతారని ఆశిస్తే, స్థానిక DNAT ఆ ఒప్పందానికి సరిపోలాలి, మీరు చూసే ఇంటర్‌ఫేస్ చిరునామాకు కాదు.

IETF యొక్క ఫైర్‌వాల్ ప్రవర్తన చర్చ ఫిల్టరింగ్ మరియు అనువాదం వేర్వేరు పనులు అని గుర్తు చేస్తుంది. రౌటర్ చిరునామాలను దాచకుండా ఇన్‌బౌండ్ విధానాన్ని ఎలా అమలు చేయగలదు, మరియు పైన ఎక్కడో NAT ఉండటం ఫిల్టరింగ్ అక్కడే జరుగుతుందని ఎందుకు నిరూపించదు అనేది వివరిస్తుంది. హ్యాండ్-ఆఫ్‌ను యజమాని మరియు మార్పు ప్రక్రియ ఉన్న సేవా వివరణగా పరిగణించండి.

రెండు సరిహద్దులలో ఒక ప్రయత్నాన్ని గమనించండి

రెండు బిందువులలో పరస్పర సంబంధం ఉన్న ఒక సన్నని, అనుమతించిన ప్రయత్నం ఊహల కుప్పను భర్తీ చేస్తుంది. ఖచ్చితమైన ట్యూపుల్ కోసం ల్యాబ్ WAN ఇంటర్‌ఫేస్‌పై క్యాప్చర్ నడపండి, మరియు పై అంచు యజమానిని అదే ట్యూపుల్‌ను అంచులో గమనించమని అడగండి. రెండు వీక్షణల మధ్య గమ్యం, ప్రోటోకాల్, పోర్ట్, మూలం మరియు సమయ ముద్రను ఒకేలా ఉంచండి.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

ఫలితాల జోడిని నిర్ణయంగా చదవండి. అంచులో కనిపించడం మరియు ల్యాబ్ WANలో కనిపించడం అంటే పంపిణీ మరియు అంచు విధానం రెండూ ఉత్తీర్ణమయ్యాయి, కాబట్టి వినిపించేది లేదా DNAT తో కొనసాగండి. అంచులో కనిపించి ల్యాబ్ WANలో కనిపించకపోతే అది పంపిణీ లేదా మధ్యంతర విధానాన్ని సూచిస్తుంది, మరియు తదుపరి కాల్ పై అంచు యజమానికి. ఎక్కడా కనిపించకపోతే ఫైర్‌వాల్ ప్రశ్నకు ముందే పరీక్షా ట్యూపుల్, మూలం లేదా మార్గం తప్పు.

ఒక క్యాప్చర్‌లో సాక్ష్యం లేకపోవడం ఫైర్‌వాల్‌కు సాక్ష్యం కాదు. తదుపరి ఏ పరికరాన్ని పరిశీలించాలో చెప్పే సరిహద్దు ఫలితం అది.

స్థానిక NAT సమాధానాన్ని దాచనివ్వకండి

ఇన్‌గ్రెస్ నిర్ధారణ అయిన తర్వాతే స్థానిక నియమం ఆసక్తికరంగా మారుతుంది. DNAT లక్ష్యం VPN వినిపించేది యొక్క నిజమైన చిరునామా మరియు పోర్ట్ అని, సంబంధిత కుటుంబానికి ఫార్వర్డింగ్ ప్రారంభించబడిందని, మరియు అభ్యర్థన వచ్చిన ఇంటర్‌ఫేస్ ద్వారానే సమాధానం బయటకు వెళ్తుందని నిర్ధారించండి. గమ్యాన్ని తిరిగి రాసే కానీ తిరోగమన మార్గాన్ని రాయని నియమం పడవేసిన ప్యాకెట్‌లాగే అదే సమయ ముగింపును ఉత్పత్తి చేస్తుంది.

దర్యాప్తు చేస్తున్నప్పుడు పోర్ట్ భద్రత మరియు ఉత్పత్తి హ్యాండ్-ఆఫ్‌ను నిలుపుకోండి. కనెక్షన్ నియంత్రణలను దాటవేయడానికి రౌటర్‌ను మార్చడం లేదా దాని MAC చిరునామాను నకిలీ చేయడం నిర్ధారణకు బదులుగా అంతరాయాన్ని ఇస్తుంది. మిర్రర్ పోర్ట్ లేదా అనుమతించిన క్యాప్చర్ లింక్‌ను పంచుకునే సేవలను డిస్‌కనెక్ట్ చేయకుండా అదే దృశ్యమానతను ఇస్తుంది.

యాజమాన్య మ్యాప్‌తో ముగించండి: గమ్యం, పంపే పరికరం, ఫిల్టర్ చేసే పరికరం, ల్యాబ్ ఇన్‌గ్రెస్ మరియు వినిపించేది. ఆ మ్యాప్ తదుపరి పోర్ట్-ఫార్వర్డ్ సమీక్షను చిన్నదిగా చేస్తుంది, మరియు అది VPN గురించి ఏమీ ధృవీకరించదు.