Üst akım yönlendirici gelen VPN bağlantı noktalarını gerçekten iletir mi?

Laboratuvar yönlendiricisindeki bir bağlantı noktası yönlendirmesinin bir şey yayımlayıp yayımlamayacağını üç koşul belirler: üst akım kenarının ne teslim ettiği, hangi politikayı uyguladığı ve yanıtların aynı yoldan dönüp dönmediği. Genel görünen bir adres bunların hiçbirine yanıt vermez. /30 öneki ya da çalışan bir giden bağlantı da vermez. NAT'ı değiştirmeden önce bu koşulları sıralayın, yoksa blok iki atlama uzaktayken yerel kural bozuk görünür.

Üç yanıt kime eskale edeceğinizi belirler

Üst akım kenarının sahibi devri üç yoldan biriyle tanımlayabilir. Hedef doğrudan arayüzünüze teslim edilir, ayrı bir önek bir sonraki atlamanıza yönlendirilir ya da önünüzdeki bir şey adresi size ulaşmadan önce çevirir. Her yanıt, gelen bağlantıya izin vermesi gereken farklı bir aygıtı ve bu olmadığında aranacak farklı bir ekibi adlandırır.

Filtreleme dördüncü değişkendir ve üçünden de bağımsızdır. Bir ağ, genel adresini koruyan trafiği filtreleyebilir ve çevirici otomatik olarak politika sınırı değildir. İzin verilen kaynak adresleri, taşımaları ve bağlantı noktalarını teslimatla aynı anda sorun, çünkü kenarın düşürdüğü yönlendirilmiş bir bağlantı noktası kuralınıza hiç ulaşmaz.

Devri bir hizmet sözleşmesi olarak okuyun

Laboratuvar yönlendiricisine dokunmadan önce beş değer yazın: atanan arayüz adresi, önek uzunluğu, sonraki atlama, dış istemcilerin kullanacağı hedef adres ve tam protokol ile bağlantı noktası. İlginç olan hedeftir, çünkü aygıtınızda yapılandırılmış bir adres olmayabilir. Üst akım, istemcilerin çevrilmiş bir adrese ulaşmasını bekliyorsa yerel DNAT bu sözleşmeye uymalıdır, gördüğünüz arayüz adresine değil.

IETF'nin güvenlik duvarı davranışı tartışması, filtreleme ile çevirinin ayrı işlevler olduğunu hatırlatan yararlı bir metindir. Bir yönlendiricinin adresleri gizlemeden gelen politikasını nasıl uygulayabildiğini ve üst akımda bir yerde NAT bulunmasının filtrelemenin orada gerçekleştiğini neden kanıtlamadığını açıklar. Devri, sahibi ve değişiklik süreci olan bir hizmet tanımı olarak ele alın.

Her iki sınırda tek bir denemeyi gözlemleyin

İki noktada ilişkilendirilmiş tek bir dar ve onaylı deneme, bir yığın tahmini değiştirir. Tam tuple için laboratuvarın WAN arayüzünde bir yakalama çalıştırın ve üst akım sahibinden aynı tuple'ı kenarda gözlemlemesini isteyin. Hedef, protokol, bağlantı noktası, kaynak ve zaman damgasını iki görünüm arasında aynı tutun.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Sonuç çiftini bir karar olarak okuyun. Kenarda görülüp laboratuvar WAN'ında da görülmesi, teslimatın ve kenar politikasının ikisinin de geçtiği anlamına gelir, bu yüzden dinleyici veya DNAT ile devam edin. Kenarda görülüp laboratuvar WAN'ında görülmemesi teslimata veya ara bir politikaya işaret eder ve sıradaki arama üst akım sahibinedir. Hiçbir yerde görülmemesi, güvenlik duvarı sorusundan önce test tuple'ının, kaynağın veya yolun yanlış olduğu anlamına gelir.

Tek bir yakalamada kanıt bulunmaması güvenlik duvarının kanıtı değildir. Hangi aygıtın sırada inceleneceğini söyleyen bir sınır sonucudur.

Yerel NAT'ın yanıtı gizlemesine izin vermeyin

Yerel kural ancak giriş doğrulandıktan sonra ilginçleşir. DNAT hedefinin VPN dinleyicisinin gerçek adresi ve bağlantı noktası olduğunu, ilgili aile için yönlendirmenin etkin olduğunu ve yanıtın isteğin geldiği arayüzden çıktığını doğrulayın. Hedefi yeniden yazan ama dönüş yolunu yazmayan bir kural, düşürülmüş bir paketle aynı zaman aşımını üretir.

Araştırma sürerken bağlantı noktası güvenliğini ve üretim devrini koruyun. Bağlantı kontrollerini atlatmak için yönlendiriciyi değiştirmek veya MAC adresini sahteleştirmek, bir teşhisi kesintiyle değiştirir. Ayna bağlantı noktası veya onaylı bir yakalama, bağlantıyı paylaşan hizmetleri kesmeden aynı görünürlüğü verir.

Sahiplik haritasıyla bitirin: hedef, teslim eden aygıt, filtreleyen aygıt, laboratuvar girişi ve dinleyici. Bu harita bir sonraki bağlantı noktası yönlendirme incelemesini küçük yapar ve VPN'in kendisi hakkında hiçbir şeyi doğrulamaz.