Cleientiaid i lawr yr afon y tu ôl i VPN i fyny'r afon: llwybr ynteu NAT?

Mae un giât yn rhedeg WireGuard ar gyfer eich dyfeisiau eich hun ac yn rhedeg cleient OpenVPN i rwydwaith rhywun arall. Mae anfon ymlaen rhwng y ddau ryngwyneb mewnol yn gweithio, ac mae'n hawdd dod i'r casgliad bod yr is-rwydwaith i lawr yr afon bellach yn rhan o'r gwasanaeth i fyny'r afon. Nac ydyw. Mae llwybr a dynnir gan y cleient yn dweud wrth eich giât ble i anfon ceisiadau; nid yw'n dweud dim am sut mae'r rhwydwaith pell yn dychwelyd traffig at ddyfeisiau nad yw erioed wedi clywed amdanynt. Dewiswch fodel dychwelyd y mae'r gwasanaeth i fyny'r afon yn ei gefnogi mewn gwirionedd cyn i chi ychwanegu un rheol.

Penderfynwch ar y model dychwelyd cyn i chi gyffwrdd â'r llwybro

Yn y daith hon, mae cleientiaid i lawr yr afon yn defnyddio 10.90.0.0/24, cyfeiriad y tiwnel i fyny'r afon a roddwyd i'r giât yw 10.80.0.6, a'r adnodd pell a gymeradwywyd yw 172.20.0.30. Mae dau fodel yn ffitio'r siâp hwnnw: cadw'r ffynhonnell i lawr yr afon a gwneud i'r ochr bell ei llwybro, neu gyfieithu'r ffynhonnell i gyfeiriad tiwnel y giât ei hun. Mae popeth i lawr yr afon o'r penderfyniad hwn yn fecanyddol, ac mae'r penderfyniad ei hun angen perchennog y gwasanaeth. Mae un rhes uchod yn gytundeb llwybro gyda'r ochr bell; mae'r llall yn newid polisi lleol y gallwch ei wneud ar eich pen eich hun. Cymysgu'r ddau yw'r hyn sy'n troi newid o ddeng munud yn drafodaeth.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Dewiswch un rhes ac ymrwymwch iddi. Mae'r rhesi yn ddewisiadau amgen, nid yn gamau, ac mae eu cymysgu yn cynhyrchu dyluniad na all neb ei esbonio wrth adolygu.

Cadw'r ffynhonnell drwy lwybro

Mae'r ochr bell yn derbyn cais o gyfeiriad i lawr yr afon, felly mae angen llwybr a gefnogir a pherchnogaeth peer ar gyfer yr is-rwydwaith hwnnw, ynghyd ag awdurdod i'w dderbyn. Mae'r rhain yn osodiadau pell, ac nid oes unrhyw lwybr Linux lleol yn eu creu. Gofynnwch amdanynt yn benodol, yn ysgrifenedig, gyda'r rhagddodiad a'r peer tiwnel a fydd yn ei gario, a disgwyliwch i'r ateb ddibynnu ar a yw'r gwasanaeth yn cefnogi trefniadau safle-i-safle o gwbl.

Os yr ateb yw ie, mae'r ffurfweddiad lleol yn fach: anfon ymlaen wedi'i alluogi, allowed-ips y peer WireGuard yn cwmpasu'r amrediad i lawr yr afon, a pholisi mur tân sy'n caniatáu'r croesiad yn y ddau gyfeiriad.

Cyfieithu ffynhonnell bwriadol

Os mai dim ond i gyfeiriad y cleient cysylltiedig y mae'r gwasanaeth yn dychwelyd traffig, cyfieithwch y ffynhonnell i'r cyfeiriad hwnnw ar y ffordd allan a chadwch y cyflwr conntrack sy'n ei wrthdroi ar gyfer atebion. Cyfyngwch y rheol i'r ffynonellau bwriadedig i lawr yr afon, y cyrchfannau pell bwriadedig a'r rhyngwyneb i fyny'r afon. Mae rheol sy'n cyfieithu popeth sy'n gadael pob rhyngwyneb yn bolisi llawer mwy na'r gofyniad hwn, a bydd yn eich synnu yn ddiweddarach.

Mae IPv6 angen ei ddyluniad ei hun; nid yw copïo llinell masquerade IPv4 yn bensaernïaeth. Profwch y llwybr cyfieithiedig gyda chysylltiad newydd yn hytrach nag un wedi'i storio.

Rhaid i'r llwybr data lleol weithio o hyd

Nid yw cyfieithu yn dileu'r gwaith lleol: mae'r giât o hyd angen llwybr ar gyfer cyrchfannau i lawr yr afon, perchnogaeth gywir ffynhonnell y peer WireGuard, anfon ymlaen wedi'i alluogi, a pholisi mur tân cul rhwng rhyngwynebau. Nid yw cais a gynhyrchir ar y giât ei hun yn arfer unrhyw un o'r caniatâd hynny, a dyna pam mae profion lleol ar y giât yn pasio ac mae dyfeisiau i lawr yr afon yn methu o hyd.

Profwch o ddyfais wirioneddol i lawr yr afon, nid o'r giât. Cyfeiriad y ffynhonnell yw holl bwynt yr ymarfer.

Mae un ffynhonnell yn golygu un hunaniaeth sesiwn

Mae'r gwasanaeth pell yn gweld sesiwn ardystiedig y giât a'i chyfeiriad cyfieithiedig, nid ardystiad annibynnol ar gyfer pob dyfais i lawr yr afon. Cadwch ganiatâd fesul dyfais a hunaniaethau cymwysiadau yn eglur, a chadarnhewch gyda pherchennog y gwasanaeth fod giât sy'n gweithredu ar gyfer sawl dyfais yn cael ei chaniatáu o gwbl. Nid yw cyfieithu yn ffordd o osgoi gofyniad cofrestru fesul dyfais; os yw'r gwasanaeth yn mynnu bod pob dyfais yn cofrestru, defnyddiwch y model hwnnw neu negodwch drefniant safle-i-safle.

Ysgrifennwch y cadarnhad hwnnw yn y runbook wrth ymyl y rheol, oherwydd bydd yr adolygydd nesaf yn gofyn a oedd y dyluniad wedi'i gymeradwyo ynteu'n gyfleus yn unig.

Diffiniwch y cyflwr datgysylltiedig, yna profwch dri chais

Penderfynwch beth sy'n digwydd pan fydd y tiwnel i fyny'r afon yn cwympo. Ni ddylai traffig pell awdurdodedig ddilyn cwymp WAN cyffredin yn dawel lle mae hynny'n cael ei wahardd, felly dylai'r polisi mur tân sy'n caniatáu'r croesiad fethu ar gau hefyd. Yna profwch dri achos o ddyfais wirioneddol i lawr yr afon: cais a ganiateir sy'n gweithio, cais nas caniateir sy'n methu, a methiant i fyny'r afon sy'n atal yr un a ganiateir.

Cofnodwch y rholio yn ôl mewn un llinell y rheol, fel y gellir dadwneud y newid heb ailadeiladu'r bwriad.