Lo que quiero decir con "comunicarse directamente"
¿Alguna vez necesita recibir paquetes con la dirección IP de la puerta de enlace como dirección IP de origen o enviar paquetes con la dirección IP de la puerta de enlace como dirección IP de destino?
(Aún permitiría el eco de solicitud ICMP, la respuesta, no hay ruta al host y se excede el tiempo).
Mi configuración actual
Mi servidor Linux físico está detrás de un enrutador que maneja DHCP (no lo uso con el servidor. IP estática configurada en el arranque), algunos firewalls (básicos) y NAT. Aún no está disponible, por lo que por el momento el tiempo de inactividad no es un problema.
¿Por qué estoy preguntando?
Mientras bloqueaba el acceso a direcciones de red local en iptables, estaba a punto de poner excepciones (reglas -j RETURN en las cadenas de filtrado de direcciones de red privada) para la dirección de puerta de enlace, cuando me detuve y me pregunté si eso realmente sería necesario.
No administro el enrutador desde el servidor, y no quiero que ningún programa en el sistema pueda hacer eso, ni cambiar mi IP local ni nada por el estilo, así que si entiendo correctamente que NAT no permite el tráfico a/ de esa IP no debería romper nada.
Pero no tengo suficiente confianza en mi red para decirlo con certeza, así que pensé que, antes de que posiblemente estropeara algo (especialmente algo sutil como un cambio de configuración menos seguro pero difícil de notar), pensé en hacerlo. un poco de crowdsourcing en la decisión.
Explicación si esta es una pregunta estúpida.
Este es el primer servidor de acceso público que he implementado, así que estoy tratando activamente de formar tantos buenos hábitos (y tan pocos malos) como sea posible...
Respuesta1
Nunca debería necesitar comunicarse directamente con unpuroPuerta de enlace NAT (es decir, un dispositivo que reescribe puertos/direcciones y nada más).
Sin embargo, probablemente no tengas uno de esos. El enrutador doméstico típico proporciona, además de NAT, DHCP, resolución de DNS, posiblemente un servidor NTP, perforación UPnP y una variedad de otros servicios. Si está seguro de que su servidor no utiliza ninguno de ellos (en particular, resolución DNS), puede configurar el firewall del servidor para bloquear el contacto.