เราเตอร์ต้นน้ำส่งต่อพอร์ต VPN ขาเข้าจริงหรือ

เงื่อนไขสามข้อเป็นตัวกำหนดว่าการส่งต่อพอร์ตบนเราเตอร์ในแล็บจะเผยแพร่สิ่งใดบ้าง คือสิ่งที่ขอบต้นน้ำส่งมา นโยบายที่ขอบนั้นใช้ และการที่คำตอบกลับมาทางเส้นทางเดิมหรือไม่ ที่อยู่ที่ดูเป็นสาธารณะไม่ได้ตอบข้อใดเลย เช่นเดียวกับคำนำหน้า /30 หรือการเชื่อมต่อขาออกที่ใช้งานได้ จัดลำดับเงื่อนไขเหล่านี้ก่อนแก้ NAT ไม่เช่นนั้นกฎภายในจะดูเหมือนพังทั้งที่การบล็อกอยู่ห่างออกไปสองฮอป

คำตอบสามข้อกำหนดว่าต้องส่งต่อไปยังใคร

เจ้าของขอบต้นน้ำสามารถอธิบายการส่งมอบได้หนึ่งในสามแบบ ปลายทางถูกส่งตรงมาที่อินเทอร์เฟซของคุณ คำนำหน้าแยกถูกกำหนดเส้นทางไปยังฮอปถัดไป หรือมีบางสิ่งด้านหน้าแปลที่อยู่ก่อนมาถึงคุณ คำตอบแต่ละแบบระบุอุปกรณ์ต่างกันที่ต้องอนุญาตการเชื่อมต่อขาเข้า และทีมต่างกันที่ต้องโทรหาเมื่อไม่เป็นเช่นนั้น

การกรองเป็นตัวแปรที่สี่และเป็นอิสระจากสามข้อนั้น เครือข่ายสามารถกรองทราฟฟิกที่ยังคงที่อยู่สาธารณะของตนได้ และตัวแปลไม่ได้เป็นเขตแดนนโยบายโดยอัตโนมัติ ถามถึงที่อยู่ต้นทางที่อนุญาต การขนส่ง และพอร์ตพร้อมกับการส่งมอบ เพราะพอร์ตที่ถูกส่งต่อซึ่งขอบทิ้งไปจะไม่ถึงกฎของคุณเลย

อ่านการส่งมอบเป็นสัญญาบริการ

จดค่าห้าอย่างก่อนแตะเราเตอร์ในแล็บ ที่อยู่อินเทอร์เฟซที่ได้รับจัดสรร ความยาวคำนำหน้า ฮอปถัดไป ที่อยู่ปลายทางที่ไคลเอนต์ภายนอกจะใช้ และโปรโตคอลกับพอร์ตที่แน่นอน สิ่งที่น่าสนใจคือปลายทาง เพราะอาจไม่ใช่ที่อยู่ที่ตั้งค่าไว้บนอุปกรณ์ของคุณเลย หากขอบต้นน้ำคาดว่าไคลเอนต์จะไปถึงที่อยู่ที่แปลแล้ว DNAT ภายในต้องตรงกับสัญญานั้น ไม่ใช่ที่อยู่อินเทอร์เฟซที่คุณเห็น

การอภิปรายของ IETF เกี่ยวกับพฤติกรรมไฟร์วอลล์ เป็นเครื่องเตือนใจที่มีประโยชน์ว่าการกรองและการแปลเป็นหน้าที่แยกกัน อธิบายว่าเหตุใดเราเตอร์จึงบังคับใช้นโยบายขาเข้าได้โดยไม่ต้องซ่อนที่อยู่ และเหตุใดการมี NAT ที่ใดที่หนึ่งด้านบนจึงไม่พิสูจน์ว่าการกรองเกิดขึ้นที่นั่น มองการส่งมอบเป็นคำอธิบายบริการที่มีเจ้าของและกระบวนการเปลี่ยนแปลง

สังเกตความพยายามหนึ่งครั้งที่ชายแดนทั้งสอง

ความพยายามหนึ่งครั้งที่แคบและได้รับอนุมัติ ซึ่งเชื่อมโยงกันสองจุด แทนที่การคาดเดากองโต รันการดักจับบนอินเทอร์เฟซ WAN ของแล็บสำหรับทูเพิลที่แน่นอน และขอให้เจ้าของขอบต้นน้ำสังเกตทูเพิลเดียวกันที่ขอบ รักษาปลายทาง โปรโตคอล พอร์ต ต้นทาง และเวลาให้เหมือนกันระหว่างสองมุมมอง

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

อ่านผลลัพธ์ทั้งสองเป็นคำตัดสิน เห็นที่ขอบและเห็นบน WAN ของแล็บหมายความว่าการส่งมอบและนโยบายขอบผ่านทั้งคู่ จึงดำเนินการต่อกับตัวรับฟังหรือ DNAT เห็นที่ขอบแต่ไม่เห็นบน WAN ของแล็บชี้ไปที่การส่งมอบหรือนโยบายกลาง และการโทรครั้งถัดไปคือเจ้าของขอบต้นน้ำ ไม่เห็นที่ใดเลยหมายความว่าทูเพิลทดสอบ ต้นทาง หรือเส้นทางผิดตั้งแต่ก่อนคำถามเรื่องไฟร์วอลล์

การไม่มีหลักฐานในการดักจับครั้งเดียวไม่ใช่ข้อพิสูจน์ว่าไม่มีไฟร์วอลล์ มันคือผลลัพธ์ที่ขอบซึ่งบอกคุณว่าต้องตรวจอุปกรณ์ใดต่อไป

อย่าให้ NAT ภายในซ่อนคำตอบ

กฎภายในจะน่าสนใจก็ต่อเมื่อยืนยันขาเข้าแล้ว ยืนยันว่าเป้าหมาย DNAT คือที่อยู่และพอร์ตจริงของตัวรับฟัง VPN ว่าการส่งต่อเปิดใช้งานสำหรับตระกูลที่เกี่ยวข้อง และคำตอบออกทางอินเทอร์เฟซที่คำขอเข้ามา กฎที่เขียนปลายทางใหม่แต่ไม่เขียนเส้นทางกลับให้ผลหมดเวลาเหมือนแพ็กเก็ตที่ถูกทิ้ง

รักษาความปลอดภัยของพอร์ตและการส่งมอบโปรดักชันไว้ระหว่างสอบสวน การเปลี่ยนเราเตอร์หรือปลอมแปลง MAC แอดเดรสเพื่อข้ามการควบคุมการเชื่อมต่อคือการแลกการวินิจฉัยกับการหยุดให้บริการ พอร์ตมิเรอร์หรือการดักจับที่ได้รับอนุมัติให้การมองเห็นเดียวกันโดยไม่ตัดบริการที่ใช้ลิงก์ร่วมกัน

จบด้วยแผนที่ความเป็นเจ้าของ ปลายทาง อุปกรณ์ที่ส่งมอบ อุปกรณ์ที่กรอง ขาเข้าของแล็บ และตัวรับฟัง แผนที่นี้ทำให้การทบทวนการส่งต่อพอร์ตครั้งถัดไปเล็กลง และไม่ได้พิสูจน์สิ่งใดเกี่ยวกับ VPN เอง