Ipasa ang lahat sa isang host, o isulat muli pati ang port?

Ang pagpapasa ng lahat sa iyong VPN server ay maaaring maglarawan ng dalawang lubos na magkaibang tuntunin. Binabago ng isa ang destinasyong address at pinapanatili ang papasok na port; muling isinusulat ng isa pa ang port sa isang tagapakinig lamang. Hindi pareho ang pagkakalantad, at ang desisyon ay nakasalalay sa tatlong kondisyon, hindi sa label na ginagamit ng interface ng router.

Unang kondisyon: aling mga field ang binabago ng tuntunin?

Ang pagsasalin ng destinasyong address at pagsasalin ng destinasyong port ay magkaibang operasyon. Maaaring isagawa ng tuntunin ang una lamang, o pareho nang sabay, at ang pagkakaiba ang nagtatakda kung aling mga serbisyo sa target na host ang maabot. Itinatago ng karamihan ng interface ng vendor ang pagpipiliang iyon sa likod ng isang label. Ang pagbasa ng pinagbabatayan na tuntunin ang tanging paraan upang malaman kung alin ang nakuha mo.

Basahin ang aktwal na tuntunin, hindi ang label ng menu. Ang screen na nagsasabing DMZ o lahat ng port ay naglalarawan ng layunin, hindi ng landas ng packet. Hinihiwalay ng dokumentasyon ng Netfilter NAT ang dalawang pagsasalin, at iyon ang tamang mental na modelo kahit ang router sa harap mo ay consumer appliance.

Dalawang field, dalawang magkaibang tanong.

Ikalawang kondisyon: ano ang nakikinig sa mga pinanatiling port?

Kung pinapanatili ng tuntunin ang papasok na port, ang bawat darating na port ay inihahatid sa parehong numero sa host ng VPN, alinsunod sa patakaran ng input ng host na iyon. Kasama rito ang mga serbisyong baka nakalimutan mong nakikinig. Hindi nilikha ng tuntunin ang mga serbisyong iyon, at ngayon ito ang landas patungo sa kanila.

Kung muling isinusulat ng tuntunin ang port, ang kabaligtaran ang nangyayari: maraming panlabas na port ang gumuho sa isang tagapakinig, at wala nang iba sa host ang maabot sa pamamagitan ng tuntuning iyon. Ang muling pagsulat sa fixed port ay hindi nagiging access sa bawat lokal na serbisyo dahil lamang may malawak na hanay ng panlabas na port na tumugma rito. Nabibigo ang dalawang disenyo sa magkaibang direksyon, at ang mode ng pagpalya ang pinipili mo. Piliin ang kaya mong tiisin ang pagpalya.

Iimbentaryo ang tagapakinig bago ka pumili.

Ikatlong kondisyon: gaano kalawak ang panlabas na pasukan?

Ang paglathala ng isang piniling port ay mas makitid kaysa paglathala ng isang hanay, at pareho silang mas makitid kaysa pagtanggap ng lahat. Ang panlabas na lapad at ang panloob na pagsasalin ay magkahiwalay na pagpili, at karamihan ng kalituhan ay nagmumula sa pagbabago ng isa habang inilalarawan ang isa.

Para sa ordinaryong pasukan ng VPN, ilathala ang transport at tagapakinig na talagang kailangan ng disenyo. Pagkatapos ay suriin ang tatlo pang bagay: ang mabisang mapping ng router, ang sariling mga tuntunin ng input ng target na host, at kung ang isang tagapakinig ng IPv6 ay naglalathala ng parehong serbisyo. Ang tuntuning mukhang makitid sa isang pamilya ng address ay maaaring malawak sa isa.

Isulat nang buo ang isinaling endpoint: protocol, panlabas na port, panloob na address, panloob na port.

Ang hindi ibinibigay sa iyo ng alinman sa dalawang tuntunin

Wala sa dalawang disenyo ang nagpapatunay na ang serbisyo ay walang kahinaan, at wala sa kanila ang nagpoprotekta sa availability. Nananatili sa saklaw ang authentication, mga update at pagbawi gaano man kakitid ang mapping ng port. Binabawasan ng makitid na mapping ang maaabot na surface; hindi nito ginagawang ligtas ang tagapakinig.

Ang malawak na tuntunin na sumusuporta na sa ibang lehitimong serbisyo ay isang dependency, hindi lamang pagkakamali. Iimbentaryo ito at palitan sa pamamagitan ng may-ari bago ito alisin, kung hindi ay magmumukhang outage na dulot ng pag-aayos ng seguridad ang pagbabago. Ganoon din ang pag-iingat para sa muling pagsulat sa fixed port na tahimik na inaasahan ng ibang bagay.

Ang pagsusuri ng pagkakalantad ay tungkol sa kung ano ang maaaring maabot ng ano, hindi sa label sa screen.

Magpasya habang hawak ang isinaling endpoint

Isulat ang resulta ng tuntunin bilang isang pangungusap: naaabot ng pampublikong UDP port X ang address Y port Z. Pagkatapos ay itanong kung aling mga serbisyo sa Y ang makakasagot sa Z at sino ang nagmamay-ari ng mga ito.

nft list ruleset

Kung ang sagot ay ang isang tagapakinig na inilaan mo, ginagawa ng tuntunin ang trabaho nito.

Kung ang sagot ay marami, pinili mo ang pagpapasa sa buong host, tinawag man ito ng interface na ganoon o hindi.