Hammasini bitta xostga yo‘naltirish yoki portni ham qayta yozish?

Hammasini VPN serveringizga yo‘naltirish ikki juda boshqacha qoidani tasvirlashi mumkin. Biri manzil manzilini o‘zgartiradi va kiruvchi portni saqlaydi; ikkinchisi portni ham bitta tinglovchiga qayta yozadi. Ta'sir bir xil emas va qaror router interfeysi ishlatadigan yorliqqa emas, uchta shartga bog‘liq.

Birinchi shart: qoida qaysi maydonlarni o‘zgartiradi?

Manzil manzilining tarjimasi va manzil portining tarjimasi alohida operatsiyalardir. Qoida faqat birinchisini yoki ikkalasini birga bajarishi mumkin, farq esa maqsadli xostdagi qaysi xizmatlar yetib borishini belgilaydi. Ko‘pchilik ishlab chiqaruvchi interfeyslari bu tanlovni bitta yorliq orqasiga yashiradi. Asosiy qoidani o‘qish qaysinisini olganingizni bilishning yagona yo‘li.

Menyu yorlig‘ini emas, haqiqiy qoidani o‘qing. DMZ yoki barcha portlar deb yozilgan ekran niyatni tasvirlaydi, paket yo‘lini emas. Netfilter NAT hujjatlari ikkala tarjimani ajratadi va oldingizdagi router iste'molchi qurilmasi bo‘lsa ham bu to‘g‘ri fikrlash modeli.

Ikki maydon, ikki xil savol.

Ikkinchi shart: saqlangan portlarda nima tinglayapti?

Agar qoida kiruvchi portni saqlasa, kelgan har bir port VPN xostidagi o‘sha raqamga yetkaziladi, o‘sha xostning kirish siyosatiga bo‘ysunadi. Bunga tinglayotganini unutgan bo‘lishingiz mumkin bo‘lgan xizmatlar ham kiradi. Qoida bu xizmatlarni yaratmagan va endi u ularga boradigan yo‘l.

Agar qoida portni qayta yozsa, buning aksi bo‘ladi: ko‘p tashqi portlar bitta tinglovchiga yiqiladi va xostdagi boshqa hech narsa bu qoida orqali yetib bo‘lmaydi. Belgilangan portga qayta yozish faqat tashqi portlarning keng diapazoni unga mos kelgani uchun har bir mahalliy xizmatga kirishga aylanmaydi. Ikki dizayn turli yo‘nalishlarda muvaffaqiyatsiz bo‘ladi va siz tanlayotgan narsa — nosozlik rejimi. Nosozligi bilan yashay oladiganini tanlang.

Tanlashdan oldin tinglovchini ro‘yxatga oling.

Uchinchi shart: tashqi kirish qanchalik keng?

Bitta tanlangan portni e'lon qilish diapazonni e'lon qilishdan torroq va ikkalasi ham hamma narsani qabul qilishdan torroq. Tashqi kenglik va ichki tarjima mustaqil tanlovlardir va chalkashlikning ko‘p qismi birini o‘zgartirib, ikkinchisini tasvirlashdan kelib chiqadi.

Oddiy VPN kirishi uchun dizayn haqiqatan muhtoj bo‘lgan transport va tinglovchini e'lon qiling. So‘ngra yana uchta narsani ko‘rib chiqing: routerni samarali xaritalash, maqsadli xostning o‘z kirish qoidalari va IPv6 tinglovchisi o‘sha xizmatni e'lon qiladimi. Bir manzil oilasida tor ko‘ringan qoida boshqasida keng bo‘lishi mumkin.

Tarjima qilingan oxirgi nuqtani to‘liq yozing: protokol, tashqi port, ichki manzil, ichki port.

Ikkala qoida ham sizga bermaydigan narsa

Ikki dizayndan hech biri xizmatning zaifliklardan xoli ekanini isbotlamaydi va hech biri mavjudlikni himoya qilmaydi. Autentifikatsiya, yangilanishlar va tiklash port xaritalash qanchalik tor bo‘lishidan qat'i nazar qamrovda qoladi. Tor xaritalash yetib boriladigan yuzani kamaytiradi; tinglovchini xavfsiz qilmaydi.

Boshqa qonuniy xizmatni allaqachon qo‘llab-quvvatlaydigan keng qoida shunchaki xato emas, bog‘liqlikdir. Uni ro‘yxatga oling va olib tashlashdan oldin egasi orqali almashtiring, aks holda o‘zgarish xavfsizlik tuzatishi sabab bo‘lgan uzilish kabi ko‘rinadi. Xuddi shu ehtiyot boshqa narsa jimgina tayanadigan belgilangan portga qayta yozishga ham tegishli.

Ta'sir tahlili nima nimaga yetib borishi haqida, ekrandagi yorliq haqida emas.

Tarjima qilingan oxirgi nuqta qo‘lingizda bo‘lganda qaror qiling

Qoida natijasini jumla sifatida yozing: ommaviy UDP port X Y manzilining Z portiga yetib boradi. So‘ngra Y dagi qaysi xizmatlar Z ga javob bera olishini va ular kimga tegishli ekanini so‘rang.

nft list ruleset

Agar javob siz ko‘zlagan o‘sha bitta tinglovchi bo‘lsa, qoida o‘z ishini qilyapti.

Agar javob bir nechta bo‘lsa, interfeys buni shunday ataganmi yoki yo‘qmi, siz butun xostga yo‘naltirishni tanlagansiz.