O que quero dizer com “comunicar diretamente”
Ele precisa receber pacotes com o endereço IP do gateway como endereço IP de origem ou enviar pacotes com o endereço IP do gateway como endereço IP de destino?
(Eu ainda permitiria eco de solicitação ICMP, resposta, nenhuma rota para o host e tempo excedido.)
Minha configuração atual
Meu servidor Linux físico está atrás de um roteador que lida com DHCP (não uso isso com o servidor. IP estático configurado na inicialização), alguns firewalls (básicos) e NAT. Ainda não está no ar, então no momento o tempo de inatividade não é um problema.
Por que estou perguntando
Como eu estava bloqueando o acesso a endereços de rede local no iptables, estava prestes a colocar exceções (regras -j RETURN nas cadeias de filtragem de endereços de rede privada) para o endereço do gateway, quando parei e me perguntei se isso seria realmente necessário.
Eu não administro o roteador do servidor e não quero que nenhum programa no sistema seja capaz de fazer isso, ou alterar meu IP local ou qualquer coisa nesse sentido, então, se eu entender o NAT, proibindo corretamente o tráfego para/ desse IP não deve quebrar nada.
Mas não estou confiante o suficiente sobre minha rede para ter certeza, então pensei que, antes de possivelmente estragar alguma coisa (especialmente algo sutil como uma alteração de configuração menos segura, mas difícil de notar), pensei em fazer um pouco de crowdsourcing na decisão.
Explicação se esta for uma pergunta estúpida
Este é o primeiro servidor acessível ao público que já implantei, então estou tentando ativamente formar tantos bons hábitos - e tão poucos ruins - quanto possível...
Responder1
Você nunca deve precisar se comunicar diretamente com umpuroGateway NAT (ou seja, um dispositivo que reescrita de porta/endereço e nada mais).
No entanto, você provavelmente não tem um desses. O roteador doméstico típico fornece, além de NAT, DHCP, resolução de DNS, possivelmente um servidor NTP, perfuração UPnP e diversos outros serviços. Se tiver certeza de que seu servidor não usa nenhum deles (em particular, resolução DNS), você pode configurar o firewall do servidor para bloquear o contato.