为什么要禁用 NAT 直通？

Question

根据这篇文章， NAT 直通是一项路由器功能，可实现来自 LAN 计算机的出站 VPN 连接。我的华硕路由器具有三种 VPN 协议的 NAT 直通：PPTP、L2TP 和 IPSec。其中，默认情况下仅启用 PPTP。

禁用 NAT 直通的原因有哪些？似乎该功能对我来说是有用且无害的安全性。另外，有什么理由让 PPTP 成为唯一默认启用的协议吗？

Answer 1

出于安全考虑，默认情况下禁用从外部网络到内部网络的 NAT。VPN 直通与 NAT 并不直接相同。VPN 用于加入外部网络，以便您和外部网络之间的一切都认为您是其他网络的一部分（您已与 VPN 连接的地方）。

默认情况下，您不需要允许用户加入其他网络（出于安全考虑）。但是我认为华硕默认开启了PPTP协议，因为它很常用（虽然不应该，因为它的安全性完全被破坏了）而且大多数用户从不访问路由器的Web界面，所以如果他们旧的他们会生气购买新路由器后，PPTP-VPN 将无法使用。

我个人将它们全部打开，但我随后使用更专业的防火墙系统来过滤流量。如果您不打算使用它们，请将它们全部禁用，并在需要时启用它们。

编辑：（为什么我的网络用户加入其他网络是一个安全问题？）

VPN 用于远程加入另一个网络，使您的 PC 和 VPN 服务器之间的所有内容都认为您是 VPN 服务器网络的一部分。这意味着您将从 VPN 服务器的池中获得一个新的内部 IP 地址，并且您将与本地 LAN“断开连接”，即您无法打印到您家的网络打印机并且您无法访问您的 NAS 存储（注意！<-- 默认情况下，当然您可以应用一些高级 VPN 和接口路由来启用这些）。

当您成为另一个网络的一部分并且启用了 VPN 防火墙直通时，您的 PC 和 VPN 服务器之间的连接将绕过您路由器的所有防火墙规则。如果 VPN 客户端可以联系 VPN 服务器，服务器也可以联系您的 PC（客户端）。现在，如果您的网络中有人连接到不安全或恶意的 VPN 服务器，这会导致一个问题：服务器上的黑客现在可以通过 VPN 访问您家的 LAN。

VPN 隧道是双向隧道（如果您使用一些技巧，则并非总是如此）。并且通过连接到 VPN 服务器，您网络内的用户可以意外地向外部打开整个网络，以防 VPN 服务器是恶意的或某处配置错误。您的 PC 上可能存在的病毒也可以在不让您知道的情况下打开 VPN 连接，这就引出了另一个故事，您局域网内的所有黑客都可以做什么（从窃取密码到破坏数据）。

如果您不一定需要 VPN，请将其关闭。这也是所有防火墙和路由的基本规则：默认情况下保持所有端口、协议和接口被阻止，并在需要时打开它们。

-AirPett