Um roteador limita uma conexão de saída a um determinado host?

Question

Isso está sendo perguntado no contexto de um roteador que não tem nenhum encaminhamento de porta ativado. Ou seja nenhuma conexão recebida aceita. Apenas de saída.

Eu li algo em um fórum em que alguém dizia que sempre que você como cliente está atrás de um roteador e se conecta a um determinado host, isso abre uma porta em seu roteador e encaminha todo o tráfego de entrada tentando se conectar à porta , independentemente da origem desse tráfego e, portanto, enquanto essa conexão está aberta, ela é tão insegura quanto se você configurasse o encaminhamento de porta para essa porta. Em outras palavras, alguns terceiros mal-intencionados, provenientes de algum outro endereço além do host, podem se conectar a essa porta.

Meu entendimento é que, quando inicio uma conexão de saída com um host, a porta de escuta está limitada à comunicação com esse endereço de host. Em outras palavras, a conexão de entrada de terceiros não seria capaz de acessar essa porta. No entanto, esta única pessoa parecia implicar que apenas um firewall fez isso. Isso meio que viola minha compreensão de como as conexões funcionam e como um roteador mapeia a porta de escuta para uma conexão de saída (eu adicionaria que há muitos buracos em meu conhecimento para violar, mas depois percebi que isso soava muito ruim).

Um roteador limita uma conexão de saída para se comunicar com o host de destino? Ou o roteador também encaminha de outros terceiros que não estão se originando do host de destino se eles tentarem se conectar a essa porta de escuta?

    

Answer 1

Estou assumindo que o seu roteador está fazendo NAT aqui (o que a maioria dos roteadores domésticos faz). Nesse caso, os pacotes de entrada só serão encaminhados se corresponderem a uma conexão NAT atual, o que significa que todos os IPs e portas de origem e de destino devem corresponder, portanto, você está correto apenas com os pacotes relevantes sendo encaminhados.

Observe que não há uma porta de escuta nesta situação (ou seja, não há um processo que esteja aceitando conexões) - o roteador é apenas roteamento e pacotes IP NAT.

Mesmo que o roteador encaminhe cegamente pacotes não relevantes para a conexão, eles serão descartados pela máquina de destino porque não fazem parte de uma conexão TCP aberta (e não pode haver um processo de escuta nessa porta porque é sendo usado para uma conexão de saída).