Router thượng nguồn có thực sự chuyển tiếp cổng VPN vào không?

Ba điều kiện quyết định việc chuyển tiếp cổng trên router phòng lab có công bố được gì hay không: biên thượng nguồn chuyển giao gì, nó áp dụng chính sách nào, và các phản hồi có quay lại cùng đường hay không. Một địa chỉ trông như công khai không trả lời được điều nào. Tiền tố /30 hay một kết nối ra ngoài đang hoạt động cũng vậy. Hãy sắp xếp các điều kiện đó trước khi thay đổi NAT, nếu không quy tắc cục bộ sẽ trông hỏng trong khi chỗ chặn nằm cách hai bước nhảy.

Ba câu trả lời quyết định bạn chuyển lên cho ai

Chủ sở hữu biên thượng nguồn có thể mô tả việc bàn giao theo một trong ba cách. Đích được chuyển trực tiếp đến giao diện của bạn, một tiền tố riêng được định tuyến đến bước nhảy tiếp theo, hoặc một thứ gì đó phía trước dịch địa chỉ trước khi nó đến bạn. Mỗi câu trả lời nêu một thiết bị khác nhau phải cho phép kết nối vào, và một nhóm khác cần gọi khi điều đó không xảy ra.

Lọc là biến thứ tư và độc lập với cả ba. Mạng có thể lọc lưu lượng vẫn giữ địa chỉ công khai của nó, và bộ dịch không tự động là ranh giới chính sách. Hãy hỏi về địa chỉ nguồn, giao thức vận chuyển và cổng được phép cùng lúc với việc bàn giao, vì một cổng đã chuyển tiếp mà biên loại bỏ sẽ không bao giờ đến quy tắc của bạn.

Đọc việc bàn giao như một hợp đồng dịch vụ

Ghi năm giá trị trước khi chạm vào router phòng lab: địa chỉ giao diện được cấp, độ dài tiền tố, bước nhảy tiếp theo, địa chỉ đích mà khách bên ngoài sẽ dùng, và giao thức cùng cổng chính xác. Đích là thứ đáng chú ý, vì nó có thể hoàn toàn không phải địa chỉ được cấu hình trên thiết bị của bạn. Nếu thượng nguồn mong khách đến được một địa chỉ đã dịch, DNAT cục bộ phải khớp với hợp đồng đó, chứ không phải địa chỉ giao diện bạn thấy.

Thảo luận của IETF về hành vi tường lửa là lời nhắc hữu ích rằng lọc và dịch là hai chức năng riêng. Nó giải thích vì sao router có thể thực thi chính sách vào mà không cần che địa chỉ, và vì sao NAT ở đâu đó phía trên không chứng minh việc lọc diễn ra tại đó. Hãy coi việc bàn giao là bản mô tả dịch vụ có chủ sở hữu và quy trình thay đổi.

Quan sát một lần thử ở cả hai biên

Một lần thử hẹp đã được phê duyệt, được tương quan ở hai điểm, thay thế cả đống phỏng đoán. Chạy bắt gói trên giao diện WAN của phòng lab cho đúng bộ tuple, và đề nghị chủ biên thượng nguồn quan sát cùng tuple đó tại biên. Giữ đích, giao thức, cổng, nguồn và dấu thời gian giống hệt nhau giữa hai góc nhìn.

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

Đọc cặp kết quả như một quyết định. Thấy ở biên và thấy trên WAN phòng lab nghĩa là cả việc bàn giao và chính sách biên đều qua, nên tiếp tục với bộ lắng nghe hoặc DNAT. Thấy ở biên nhưng không thấy trên WAN phòng lab chỉ ra việc bàn giao hoặc một chính sách trung gian, và cuộc gọi tiếp theo là cho chủ biên thượng nguồn. Không thấy ở đâu nghĩa là bộ tuple thử, nguồn hoặc đường đi sai ngay từ trước mọi câu hỏi về tường lửa.

Không có bằng chứng trong một lần bắt gói không phải là bằng chứng về tường lửa. Đó là kết quả ở ranh giới cho biết thiết bị nào cần kiểm tra tiếp.

Đừng để NAT cục bộ che giấu câu trả lời

Quy tắc cục bộ chỉ trở nên đáng chú ý sau khi luồng vào được xác nhận. Xác nhận rằng đích DNAT là địa chỉ và cổng thực của bộ lắng nghe VPN, rằng chuyển tiếp được bật cho họ địa chỉ liên quan, và rằng phản hồi đi ra qua giao diện mà yêu cầu đã đến. Một quy tắc viết lại đích nhưng không viết lại đường về tạo ra cùng thời gian chờ như một gói bị loại bỏ.

Giữ an toàn cổng và việc bàn giao sản xuất trong khi điều tra. Thay router hoặc giả mạo địa chỉ MAC của nó để vượt qua kiểm soát gắn kết là đổi chẩn đoán lấy gián đoạn. Một cổng gương hoặc bắt gói được phê duyệt cho cùng khả năng quan sát mà không ngắt dịch vụ dùng chung đường truyền.

Kết thúc bằng bản đồ sở hữu: đích, thiết bị chuyển giao, thiết bị lọc, luồng vào phòng lab và bộ lắng nghe. Bản đồ đó làm cho lần rà soát chuyển tiếp cổng tiếp theo trở nên nhỏ, và nó không xác thực gì về bản thân VPN.