Talaga bang naghahatid ang upstream router ng mga papasok na VPN port?

Tatlong kondisyon ang nagpapasya kung may ilalathala ang port forwarding sa router ng lab: ano ang hatid ng upstream edge, anong patakaran ang inilalapat nito, at kung bumabalik ba ang mga sagot sa parehong landas. Ang address na mukhang pampubliko ay walang sinasagot sa mga iyon. Ganoon din ang /30 prefix o gumaganang palabas na koneksyon. Ayusin ang mga kondisyong iyon bago baguhin ang NAT, kung hindi ay mukhang sira ang lokal na patakaran habang ang harang ay dalawang hop ang layo.

Tatlong sagot ang nagpapasya kung kanino ka mag-escalate

Maaaring ilarawan ng may-ari ng upstream edge ang paghahatid sa isa sa tatlong paraan. Direktang inihahatid ang destinasyon sa iyong interface, may hiwalay na prefix na irinuruta sa susunod na hop, o may isang bagay sa harap na nagsasalin ng address bago ka pa abutin. Ang bawat sagot ay may pangalan ng ibang device na dapat magpayag sa papasok na koneksyon, at ibang team na tatawagan kapag hindi nangyari iyon.

Ang pag-filter ay ang ikaapat na variable at hiwalay ito sa tatlo. Maaaring i-filter ng network ang trapikong nagpapanatili ng pampublikong address nito, at ang tagasalin ay hindi awtomatikong hangganan ng patakaran. Itanong ang pinapayagang source address, transport at port kasabay ng paghahatid, dahil ang na-forward na port na itinatapon ng edge ay hindi kailanman umaabot sa iyong patakaran.

Basahin ang paghahatid bilang kontrata ng serbisyo

Isulat ang limang halaga bago hawakan ang router ng lab: ang itinalagang interface address, haba ng prefix, susunod na hop, destinasyong address na gagamitin ng mga panlabas na kliyente, at ang eksaktong protocol at port. Ang destinasyon ang kawili-wili, dahil maaaring hindi ito address na naka-configure sa iyong device. Kung inaasahan ng upstream na maabot ng mga kliyente ang isang naisaling address, kailangang tumugma ang lokal na DNAT sa kontratang iyon, hindi sa interface address na nakikita mo.

Ang talakayan ng IETF tungkol sa pag-uugali ng firewall ay kapaki-pakinabang na paalala na ang pag-filter at pagsasalin ay magkahiwalay na gamit. Ipinaliwanag nito kung bakit kayang ipatupad ng router ang papasok na patakaran nang hindi itinatago ang mga address, at bakit ang NAT sa isang lugar sa itaas ay hindi nagpapatunay na doon nangyayari ang pag-filter. Tratuhin ang paghahatid bilang paglalarawan ng serbisyo na may may-ari at proseso ng pagbabago.

Obserbahan ang isang pagtatangka sa dalawang hangganan

Isang makitid, aprubadong pagtatangka na iniugnay sa dalawang punto ang pumapalit sa tambak ng haka-haka. Magpatakbo ng pagkuha sa WAN interface ng lab para sa eksaktong tuple, at hilingin sa may-ari ng upstream na obserbahan ang parehong tuple sa edge. Panatilihing pareho ang destinasyon, protocol, port, source at timestamp sa dalawang tanaw.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Basahin ang pares ng resulta bilang pasya. Nakita sa edge at nakita sa WAN ng lab ay nangangahulugang pumasa ang paghahatid at patakaran ng edge, kaya magpatuloy sa listener o DNAT. Nakita sa edge pero hindi sa WAN ng lab ay tumutukoy sa paghahatid o patakarang pantagitan, at ang susunod na tawag ay sa may-ari ng upstream. Hindi nakita kahit saan ay nangangahulugang mali ang test tuple, source o landas bago pa man ang anumang tanong sa firewall.

Ang kawalan ng ebidensya sa isang pagkuha ay hindi patunay ng firewall. Ito ay resulta sa hangganan na nagsasabi kung aling device ang susunod na inspeksyunin.

Huwag hayaang itago ng lokal na NAT ang sagot

Ang lokal na patakaran ay nagiging kawili-wili lamang pagkatapos makumpirma ang pagpasok. Kumpirmahin na ang target ng DNAT ay ang tunay na address at port ng VPN listener, na naka-enable ang forwarding para sa kaugnay na pamilya, at na lumalabas ang sagot sa interface kung saan dumating ang kahilingan. Ang patakarang nagsusulat muli ng destinasyon pero hindi ng daan pabalik ay gumagawa ng parehong timeout gaya ng itinapong packet.

Panatilihin ang seguridad ng port at ang production hand-off habang nagsisiyasat. Ang pagpapalit ng router o pagpeke ng MAC address nito para laktawan ang mga kontrol sa pagkakabit ay nagpapalit ng diagnosis sa pagkaantala. Ang mirror port o aprubadong pagkuha ay nagbibigay ng parehong visibility nang hindi nadidisconnect ang mga serbisyong nagbabahagi ng link.

Tapusin sa mapa ng pagmamay-ari: destinasyon, device na naghahatid, device na nagfi-filter, pasukan ng lab at listener. Ginagawang maliit ng mapang iyon ang susunod na pagsusuri ng port forwarding, at wala itong pinapatunayan tungkol sa VPN mismo.