Чи справді вищий маршрутизатор доставляє вхідні порти VPN?

Три умови вирішують, чи опублікує щось переспрямування порту на лабораторному маршрутизаторі: що доставляє верхній край, яку політику він застосовує і чи повертаються відповіді тим самим шляхом. Публічно виглядаюча адреса не відповідає на жодне з них. Ні префікс /30, ні робоче вихідне з'єднання. Упорядкуйте ці умови до зміни NAT, інакше локальне правило виглядатиме зламаним, поки блокування перебуває за два переходи.

Три відповіді вирішують, до кого ескалювати

Власник верхнього краю може описати передачу одним із трьох способів. Призначення доставляється безпосередньо на ваш інтерфейс, окремий префікс маршрутизується до наступного переходу, або щось спереду транслює адресу, перш ніж вона до вас дійде. Кожна відповідь називає інший пристрій, який має дозволити вхідне з'єднання, і іншу команду, до якої треба телефонувати, коли цього не відбувається.

Фільтрування — четверта змінна, і воно не залежить від усіх трьох. Мережа може фільтрувати трафік, що зберігає свою публічну адресу, а транслятор не є автоматично межею політики. Питайте про дозволені адреси джерела, транспорти й порти одночасно з доставкою, бо переспрямований порт, який край відкидає, ніколи не дійде до вашого правила.

Читайте передачу як договір на послугу

Запишіть п'ять значень, перш ніж торкатися лабораторного маршрутизатора: призначену адресу інтерфейсу, довжину префікса, наступний перехід, адресу призначення, яку використовуватимуть зовнішні клієнти, і точні протокол та порт. Цікаве саме призначення, бо це може бути зовсім не адреса, налаштована на вашому пристрої. Якщо верхній край очікує, що клієнти досягнуть трансльованої адреси, локальний DNAT має відповідати цьому контракту, а не адресі інтерфейсу, яку ви бачите.

Обговорення IETF щодо поведінки міжмережевих екранів — корисне нагадування, що фільтрування й трансляція є окремими функціями. Воно пояснює, чому маршрутизатор може застосовувати вхідну політику, не ховаючи адреси, і чому NAT десь вище не доводить, що фільтрування відбувається саме там. Ставтеся до передачі як до опису послуги з власником і процесом змін.

Спостерігайте одну спробу на обох межах

Одна вузька схвалена спроба, корельована у двох точках, замінює купу здогадів. Запустіть захоплення на WAN-інтерфейсі лабораторії для точного кортежу і попросіть власника верхнього краю спостерігати той самий кортеж на краю. Тримайте призначення, протокол, порт, джерело й позначку часу однаковими між двома поданнями.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Читайте пару результатів як рішення. Видно на краю і видно на лабораторному WAN означає, що і доставка, і політика краю проходять, тож продовжуйте з прослуховувачем або DNAT. Видно на краю, але не на лабораторному WAN, вказує на доставку або проміжну політику, і наступний дзвінок — власнику верхнього краю. Ніде не видно означає, що тестовий кортеж, джерело або шлях неправильні ще до будь-якого питання про міжмережевий екран.

Відсутність доказів в одному захопленні не є доказом міжмережевого екрана. Це результат на межі, який підказує, який пристрій перевіряти далі.

Не дозволяйте локальному NAT приховати відповідь

Локальне правило стає цікавим лише після підтвердження входу. Підтвердьте, що мета DNAT — фактичні адреса й порт прослуховувача VPN, що переспрямування ввімкнено для відповідного сімейства і що відповідь виходить через інтерфейс, на який надійшов запит. Правило, яке переписує призначення, але не зворотний шлях, дає той самий тайм-аут, що й відкинутий пакет.

Зберігайте безпеку портів і виробничу передачу, поки ведете розслідування. Заміна маршрутизатора або підробка його MAC-адреси для обходу контролю підключення міняє діагностику на простій. Дзеркальний порт або схвалене захоплення дає ту саму видимість, не відключаючи служби, що ділять канал.

Завершіть картою власності: призначення, пристрій, що доставляє, пристрій, що фільтрує, вхід лабораторії та прослуховувач. Ця карта робить наступний огляд переспрямувань портів малим, і вона нічого не засвідчує про сам VPN.