Masquerade neu lwybro polisi: traffig LAN trwy borth VPN

Mae rhoi LAN gyfan y tu ôl i dwnnel VPN yn rhan hawdd; nid yw penderfynu sut mae'r ochr bell yn gweld y cleientiaid hynny. Mae masquerade yn ailysgrifennu pob ffynhonnell LAN i gyfeiriad twnnel y borth, felly mae'r pen pell yn ateb un cymar. Mae lwybro polisi yn cadw'r cyfeiriadau gwreiddiol ac yn gofyn bod yr ochr bell yn gwybod sut i'w cyrraedd. Nid yw'r naill na'r llall yn ddiofyn; daw'r dewis o bwy sy'n berchen ar yr ochr bell ac a yw hunaniaeth fesul dyfais yn bwysig.

Mae'r ddau ddyluniad yn addo pethau gwahanol

Mae masquerade yn lleihau'r LAN i un gwesteiwr gweladwy: y borth. Mae'r rhwydwaith pell yn ateb y cyfeiriad hwnnw, ac mae'r borth yn cyfieithu'r atebion yn ôl i'r cleient a gychwynnodd y llif. Does dim angen llwybr i'ch rhagddodiaid preifat ar yr ochr bell, a dyna pam mae'r dyluniad hwn yn goroesi darparwr sy'n gwrthod eu cludo. Daw'r borth hefyd yn ffynhonnell pob cysylltiad, felly ni all yr ochr bell wahaniaethu rhwng dau gleient.

Mae lwybro polisi yn cadw cyfeiriad pob cleient yn gyfan. Mae'r rhwydwaith pell yn gweld y ffynhonnell wirioneddol ac yn gallu ei chofnodi, cymhwyso rheol fesul gwesteiwr neu anfon yr ateb yn syth i'r cyfeiriad hwnnw. Y gwelededd hwnnw yw'r pwynt i gyd, ac mae'n dod ag ymrwymiad: rhaid i'r ochr bell gael llwybr ar gyfer rhagddodiad y LAN sy'n arwain yn ôl trwy'r twnnel. Cynlluniwch y llwybr hwnnw cyn i chi alluogi'r rheol, oherwydd bydd y twnnel yn codi beth bynnag a dim ond yr atebion fydd ar goll.

Mae'r dulliau methu yn gwahaniaethu cymaint â'r addewidion. Mae rheol masquerade ar goll yn cynhyrchu pecynnau sy'n gadael â ffynonellau preifat ac nad ydynt byth yn dychwelyd. Mae llwybr dychwelyd ar goll yn rhoi'r un symptom o dan lwybro polisi, ond mae'r cywiriad yn perthyn i'r llwybrydd pell yn hytrach na'r borth.

Masquerade: un cymar ar yr ochr bell

Mae gan lwybr masquerade drefn sy'n bwysig. Rhaid galluogi'r anfon ymlaen cyn i unrhyw reol NAT wneud gwaith defnyddiol, rhaid i'r tabl hidlo ganiatáu'r tramwy yn y ddau gyfeiriad, a dim ond wedyn y bydd y cyfieithiad yn berthnasol ar ryngwyneb y twnnel.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i eth1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Mae cleientiaid yn dal i fod angen llwybr at y borth. Naill ai'r borth yw eu llwybrydd diofyn, neu maent yn cario llwybr penodol ar gyfer y rhagddodiad pell; os yw llwybrydd ar wahân yn parhau'n ddiofyn, mae angen llwybr statig ar y llwybrydd hwnnw ar gyfer cyrchfannau'r twnnel, fel arall mae'r pecyn yn mynd i'r naid anghywir cyn i'r borth ei weld.

Mae DNS yn benderfyniad ar wahân. Dim ond os gall ei ateb deithio'n ôl at y cleient y bydd datryswr ar yr ochr bell yn ateb. O dan fasquerade mae'r ymholiad fel pe bai'n dod o'r borth, felly mae llwybr dychwelyd y datryswr eisoes yn ddigon; o dan lwybro polisi mae angen yr un llwybr dychwelyd ar y datryswr ag unrhyw wasanaeth pell arall.

Lwybro polisi: cadw'r ffynhonnell, ychwanegu llwybr dychwelyd

Mae lwybro polisi yn dechrau gyda thabl a rheol sy'n ei ddewis. Mae traffig sy'n dod i mewn o ryngwyneb y LAN yn cael ei anfon i dabl pwrpasol, ac mae'r tabl hwnnw'n cario llwybr diofyn trwy'r twnnel. Mae'r prif dabl yn aros yn gyfan, felly gall traffig sy'n deillio o'r borth ei hun ddilyn llwybr gwahanol.

ip rule add iif eth1 table vpn
ip route add default dev tun0 table vpn

Yna rhaid i'r ochr bell lwybro rhagddodiad y LAN yn ôl trwy'r twnnel. Mae hwnnw'n ffurfweddiad ar y llwybrydd pell, nid ar y borth hwn. Rhaid i'r borth hefyd dderbyn atebion sy'n cyrraedd ar ryngwyneb gwahanol i'r un y byddai'r prif dabl yn ei ragweld; hidlo llwybr cefn llac (rp_filter wedi'i osod i 2) yw'r addasiad arferol pan fydd modd llym yn gollwng y pecynnau hynny.

Pan fydd dau dwnnel yn weithredol, tagiwch bob llif wrth iddo ddod i mewn a gadewch i'r tag ddewis y tabl. Mae rheol sy'n edrych ar ryngwyneb mewnbwn yn unig yn anfon traffig y ddau dwnnel i'r un tabl, felly mae'r ail dwnnel yn dwyn llif o'r cyntaf. Profwch y tag hwnnw gyda chysylltiad sy'n goroesi ailgysylltu, sef pryd y daw polisi cymysg i'r amlwg.

Penderfynwch yn ôl perchenogaeth ac yn ôl yr hyn y mae'r ochr bell yn ei gofnodi

Os yw'r twnnel yn gorffen mewn darparwr, defnyddiwch fasquerade. Ni fydd y gweithredwr hwnnw'n llwybro'ch amrediadau LAN preifat, ac nid oes ganddo reswm i wahaniaethu cleientiaid unigol y tu ôl i'ch porth. Un cymar gweladwy yw'r unig fodel y mae ei bolisi'n ei gefnogi, felly rhowch hynny iddo a chadwch y cyfieithiad ar eich ymyl. Mae'r darparwr yn gweld un cymar, sef yn union yr hyn y mae ei bolisi'n ei ddisgwyl, ac mae'ch cleientiaid yn etifeddu'r un hunaniaeth honno.

Os yw'r ddau ben yn eiddo i chi ac mae'r gwasanaethau pell yn gweithredu ar gyfeiriadau ffynhonnell, mae lwybro polisi yn haeddu ei lwybr ychwanegol. Yna gall rheolau mur gwarchod, mynediad fesul defnyddiwr a logiau archwilio wahaniaethu cleientiaid. Os nad oes angen ar yr ochr bell ond cyrhaeddiad, mae masquerade yn symlach ac yn dileu dosbarth o gamgymeriadau llwybr dychwelyd.

Mae dyluniadau hybrid yn normal: lwybro polisi o fewn eich rhwydwaith eich hun, masquerade ar ymyl y darparwr. Y peth sy'n bwysig yw cofnodi pa naid sy'n cyfieithu a pha naid sy'n llwybro, oherwydd mae rheol NAT a ychwanegwyd ar ddamwain ar gyfer un cleient yn cuddio'r ffynhonnell ar gyfer pob cleient yn yr un gadwyn.

Gwiriwch o un cleient, yna o ail gleient

Rhedwch y prawf lle mae'r traffig yn dechrau. Gwiriwch y llwybr y mae'r gwesteiwr yn ei ddefnyddio, gwyliwch y pecyn yn ymddangos ar ryngwyneb y twnnel, ac archwiliwch conntrack ar gyfer y cyfieithiad. Mae'r dilyniant hwnnw'n profi bod y pecyn wedi mynd ar hyd y llwybr a fwriadwyd yn hytrach na dim ond cyrraedd rhywle.

Ailadroddwch y prawf ar ôl ailgysylltu. Mae rheol masquerade sy'n enwi'r rhyngwyneb yn goroesi cyfeiriad twnnel newydd; nid yw rheol sy'n enwi'r hen gyfeiriad yn goroesi. Yna profwch ail westai LAN, oherwydd mae dyluniad sy'n gweithio ar un peiriant yn aml yn dibynnu ar lwybr y peiriant hwnnw'n unig yn hytrach nag ar bolisi'r borth.

Ysgrifennwch y model a ddewiswyd, y ffynhonnell a gyfieithwyd neu a gedwir, a pherchennog y llwybr dychwelyd yng nghofnodion y borth. Fel arall bydd y person nesaf sy'n ychwanegu cleient neu dwnnel yn dyfalu, a dyfalu yw sut mae setup LAN-i-VPN sy'n gweithio yn dod yn un rhannol.