Her şeyi tek bir ana makineye mi yönlendirmeli, yoksa bağlantı noktasını da mı yeniden yazmalı?

Her şeyi VPN sunucunuza yönlendirmek iki çok farklı kuralı tanımlayabilir. Biri hedef adresini değiştirir ve gelen bağlantı noktasını korur; diğeri bağlantı noktasını da tek bir dinleyiciye yeniden yazar. Maruz kalma aynı değildir ve karar, yönlendiricinin arayüzünün kullandığı etikete değil, üç koşula bağlıdır.

Birinci koşul: kural hangi alanları değiştirir?

Hedef adres çevirisi ile hedef bağlantı noktası çevirisi ayrı işlemlerdir. Bir kural yalnızca birincisini veya ikisini birlikte gerçekleştirebilir ve fark, hedef ana makinedeki hangi hizmetlere erişilebildiğini belirler. Çoğu üretici arayüzü bu seçimi tek bir etiketin arkasına saklar. Temel kuralı okumak, hangisini aldığınızı bilmenin tek yoludur.

Menü etiketini değil, gerçek kuralı okuyun. DMZ veya tüm bağlantı noktaları yazan bir ekran niyeti tanımlar, paket yolunu değil. Netfilter NAT belgeleri iki çeviriyi ayırır ve önünüzdeki yönlendirici bir tüketici cihazı olsa bile doğru zihinsel model budur.

İki alan, iki farklı soru.

İkinci koşul: korunan bağlantı noktalarında ne dinliyor?

Kural gelen bağlantı noktasını korursa, gelen her bağlantı noktası VPN ana makinesindeki aynı numaraya iletilir ve o ana makinenin giriş politikasına tabidir. Bu, dinlediğini unutmuş olabileceğiniz hizmetleri de kapsar. Kural bu hizmetleri oluşturmadı ve artık onlara giden yol odur.

Kural bağlantı noktasını yeniden yazarsa tersi olur: birçok dış bağlantı noktası tek bir dinleyicide çöker ve ana makinedeki başka hiçbir şeye o kural üzerinden erişilemez. Sabit bağlantı noktasına yeniden yazma, geniş bir dış bağlantı noktası aralığı ona uydu diye her yerel hizmete erişim hâline gelmez. İki tasarım farklı yönlerde başarısız olur ve seçtiğiniz şey arıza biçimidir. Arızasıyla yaşayabileceğiniz olanı seçin.

Seçmeden önce dinleyicinin envanterini çıkarın.

Üçüncü koşul: dış giriş ne kadar geniş?

Seçilmiş tek bir bağlantı noktasını yayımlamak bir aralık yayımlamaktan daha dardır ve ikisi de her şeyi kabul etmekten daha dardır. Dış genişlik ile iç çeviri bağımsız seçimlerdir ve karışıklığın çoğu birini değiştirirken diğerini anlatmaktan gelir.

Sıradan bir VPN girişi için tasarımın gerçekten ihtiyaç duyduğu taşıma ve dinleyiciyi yayımlayın. Ardından üç şeyi daha gözden geçirin: yönlendiricinin etkin eşlemesi, hedef ana makinenin kendi giriş kuralları ve bir IPv6 dinleyicisinin aynı hizmeti yayımlayıp yayımlamadığı. Bir adres ailesinde dar görünen bir kural diğerinde geniş olabilir.

Çevrilmiş uç noktayı eksiksiz yazın: protokol, dış bağlantı noktası, iç adres, iç bağlantı noktası.

İki kuralın da size vermediği şey

İki tasarımın hiçbiri hizmetin güvenlik açıklarından arınmış olduğunu kanıtlamaz ve hiçbiri kullanılabilirliği korumaz. Kimlik doğrulama, güncellemeler ve kurtarma, bağlantı noktası eşlemesi ne kadar dar olursa olsun kapsamda kalır. Dar eşleme erişilebilir yüzeyi azaltır; dinleyiciyi güvenli kılmaz.

Başka bir meşru hizmeti zaten destekleyen geniş bir kural yalnızca hata değil, bir bağımlılıktır. Envanterini çıkarın ve kaldırmadan önce sahibi aracılığıyla değiştirin, yoksa değişiklik bir güvenlik düzeltmesinin yol açtığı kesinti gibi görünür. Aynı dikkat, başka bir şeyin sessizce güvendiği sabit bağlantı noktasına yeniden yazma için de geçerlidir.

Maruz kalma analizi neyin neye ulaşabildiğiyle ilgilidir, ekrandaki etiketle değil.

Çevrilmiş uç nokta elinizdeyken karar verin

Kuralın sonucunu bir cümle olarak yazın: genel UDP bağlantı noktası X, Y adresinin Z bağlantı noktasına ulaşır. Ardından Y'deki hangi hizmetlerin Z'ye yanıt verebildiğini ve bunların kime ait olduğunu sorun.

nft list ruleset

Yanıt amaçladığınız tek dinleyici ise kural işini yapıyor.

Yanıt birkaç taneyse, arayüz buna öyle demiş olsun ya da olmasın, tüm ana makineye yönlendirmeyi seçmişsiniz.