Yuqori router haqiqatan kiruvchi VPN portlarini yetkazadimi?

Laboratoriya routeridagi port yo'naltirish biror narsa e'lon qiladimi-yo'qmi, buni uch shart hal qiladi: yuqori qirra nima yetkazadi, qanday siyosat qo'llaydi va javoblar o'sha yo'l bilan qaytadimi. Ommaviy ko'rinadigan manzil ularning birortasiga javob bermaydi. /30 prefiksi yoki ishlaydigan chiquvchi ulanish ham. NATni o'zgartirishdan oldin bu shartlarni tartibga soling, aks holda blok ikki sakrash narida turganda mahalliy qoida buzilgan ko'rinadi.

Uch javob kimga eskalatsiya qilishingizni hal qiladi

Yuqori qirra egasi topshirishni uch usuldan birida ta'riflashi mumkin. Manzil to'g'ridan-to'g'ri interfeysingizga yetkaziladi, alohida prefiks keyingi sakrashingizga yo'naltiriladi yoki oldingi bir narsa manzilni sizga yetib kelishidan oldin tarjima qiladi. Har bir javob kiruvchi ulanishga ruxsat berishi kerak bo'lgan boshqa qurilmani va bu bo'lmaganda qo'ng'iroq qilinadigan boshqa jamoani nomlaydi.

Filtrlash to'rtinchi o'zgaruvchi bo'lib, u uchalasidan ham mustaqil. Tarmoq o'zining ommaviy manzilini saqlaydigan trafikni filtrlashi mumkin, tarjimon esa avtomatik ravishda siyosat chegarasi emas. Ruxsat etilgan manba manzillari, transportlar va portlar haqida yetkazish bilan bir vaqtda so'rang, chunki qirra tashlab yuboradigan yo'naltirilgan port sizning qoidangizga hech qachon yetib bormaydi.

Topshirishni xizmat shartnomasi sifatida o'qing

Laboratoriya routeriga tegishdan oldin besh qiymatni yozib oling: tayinlangan interfeys manzili, prefiks uzunligi, keyingi sakrash, tashqi mijozlar ishlatadigan manzil manzili va aniq protokol hamda port. Qiziqarlisi manzil, chunki u qurilmangizda sozlangan manzil bo'lmasligi mumkin. Agar yuqori qirra mijozlar tarjima qilingan manzilga yetishini kutsa, mahalliy DNAT o'sha shartnomaga mos kelishi kerak, siz ko'rayotgan interfeys manziliga emas.

IETFning xavfsizlik devori xatti-harakati haqidagi muhokamasi filtrlash va tarjima alohida funksiyalar ekanini eslatadi. Router manzillarni yashirmasdan kiruvchi siyosatni qanday amalga oshirishi va yuqorida biror joyda NAT borligi filtrlash aynan o'sha yerda bo'lishini nima uchun isbotlamasligini tushuntiradi. Topshirishni egasi va o'zgartirish jarayoni bo'lgan xizmat tavsifi sifatida qabul qiling.

Ikkala chegarada bitta urinishni kuzating

Ikki nuqtada korrelyatsiyalangan bitta tor, tasdiqlangan urinish taxminlar uyumini almashtiradi. Aniq tuple uchun laboratoriya WAN interfeysida ushlash ishga tushiring va yuqori qirra egasidan o'sha tupleni qirrada kuzatishni so'rang. Manzil, protokol, port, manba va vaqt belgisini ikki ko'rinish orasida bir xil tuting.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Natijalar juftini qaror sifatida o'qing. Qirrada ko'rilgan va laboratoriya WANida ko'rilgan — yetkazish ham, qirra siyosati ham o'tdi degani, shuning uchun tinglovchi yoki DNAT bilan davom eting. Qirrada ko'rinib, laboratoriya WANida ko'rilmagan — yetkazish yoki oraliq siyosatga ishora qiladi, keyingi qo'ng'iroq yuqori qirra egasiga. Hech qayerda ko'rilmagan — xavfsizlik devori savolidan oldin ham sinov tuplasi, manba yoki yo'l noto'g'ri degani.

Bitta ushlashda dalil yo'qligi xavfsizlik devori borligining isboti emas. Bu keyingi qaysi qurilmani tekshirish kerakligini aytadigan chegara natijasi.

Mahalliy NAT javobni yashirishiga yo'l qo'ymang

Mahalliy qoida faqat kirish tasdiqlangandan keyin qiziqarli bo'ladi. DNAT nishoni VPN tinglovchisining haqiqiy manzili va porti ekanini, tegishli oila uchun yo'naltirish yoqilganini va javob so'rov kelgan interfeysdan chiqishini tasdiqlang. Manzilni qayta yozadigan, lekin qaytish yo'lini yozmaydigan qoida tashlangan paket bilan bir xil kutish vaqtini beradi.

Tekshiruv davomida port xavfsizligi va ishlab chiqarish topshirig'ini saqlang. Ulanish nazoratlarini chetlab o'tish uchun routerni almashtirish yoki uning MAC manzilini soxtalashtirish diagnostikani uzilish bilan almashtiradi. Ko'zgu port yoki tasdiqlangan ushlash aloqani bo'lishadigan xizmatlarni uzmasdan bir xil ko'rinishni beradi.

Egalik xaritasi bilan yakunlang: manzil, yetkazuvchi qurilma, filtrlovchi qurilma, laboratoriya kirishi va tinglovchi. Bu xarita keyingi port yo'naltirish ko'rib chiqishini kichik qiladi va VPNning o'zi haqida hech narsani tasdiqlamaydi.