Llwybro rhwng LAN preifat cyn ychwanegu NAT arall

Dwy wal dân fewnol, un segment tramwy preifat, a chais i adael ychydig o westeion ym mhob LAN siarad â’r llall. Y reddf yw codi VPN neu ychwanegu ail haen NAT, ac mae’r ddwy reddf yn costio mwy nag y mae’r broblem yn ei haeddu. Mae llwybro cyffredin yn ddigon pan fydd tri amod yn dal: nid yw’r ystodau cyfeiriadau yn gorgyffwrdd, gall y ddwy ochr ddychwelyd traffig i’r LAN arall, ac mae’r segment tramwy eisoes yn ddigon dibynadwy ar gyfer y data. Gwiriwch y tri hyn cyn dylunio unrhyw beth, oherwydd mae pob un ohonynt yn newid yr ateb.

Tri amod sy’n penderfynu ar y dyluniad

Yr amod gyntaf yw gofod cyfeiriadau. Os yw’r ddwy LAN yn defnyddio’r un bloc RFC 1918, ni all llwybro eu gwahaniaethu ac mae cyfieithu yn dod yn anochel yn hytrach nag yn ddewisol. Yr ail yw llwybr dychwelyd: mae llwybr o A i B yn ddiwerth oni bai bod B hefyd yn gwybod sut i gyrraedd LAN A, a gwybodaeth anghymesur yw’r rheswm mwyaf cyffredin pam y mae dyluniad llwybredig yn gollwng atebion yn dawel.

Y trydydd yw ymddiriedaeth. Mae llwybro yn symud pecynnau; nid yw’n eu hamddiffyn. Mae segment tramwy preifat o fewn un adeilad yn beth gwahanol i drosglwyddiad i ddarparwr neu gyswllt sy’n croesi asgwrn cefn campws a rennir. Os nad yw’r segment yn ddibynadwy, yr ateb yw twnnel rhwng y ddwy wal dân, ac mae’r cynllun llwybro isod yn dal i fod yn berthnasol y tu mewn iddo.

Dim ond pan fydd y tri yn pwyntio’r un ffordd y mae’r dyluniad syml yn ennill. Pan fydd un ohonynt yn methu, trwsiwch yr amod hwnnw’n benodol yn lle ei orchuddio â chyfieithu, oherwydd mae NAT yn cuddio’r methiant yn hytrach na’i ddatrys.

Adeiladwch y cynllun llwybro ar y rhwydwaith tramwy

Rhowch gyfeiriad i bob wal dân ar y segment a rennir a ychwanegwch un llwybr penodol ar gyfer pob LAN o bell. Nid oes angen symud unrhyw beth arall yn y ffurfweddiad presennol, ac yn arbennig mae’n rhaid i’r llwybr diofyn i’r rhyngrwyd aros yn union lle mae. Byddai disodli llwybr diofyn â’r wal dân gyfatebol yn anfon pob cyrchfan ddi-fudd drwy’r dramwyfa, sy’n newid llawer mwy na’r un y gofynnwyd amdano. Mae dogfennaeth pfSense ar lwybro statig yn disgrifio’r un model llwybr a phorth ar gyfer y platfform hwnnw, ac mae’r rheolau cyfatebol ar gael ar ba wal dân bynnag yr ydych yn ei rhedeg.

Mae wal dân A yn gwasanaethu 10.30.0.0/24 a wal dân B yn gwasanaethu 10.40.0.0/24, gyda’r dau gyfeiriad tramwy ar 192.0.2.0/24. Mae pob gwestai yn y LAN yn cadw ei wal dân leol fel ei borth, felly’r unig gyflwr newydd yw un llwybr ar bob ochr. Ar wal dân sy’n seiliedig ar Linux mae’r un cynllun yn edrych fel hyn, ac mae’n rhaid galluogi anfon ymlaen neu bydd y llwybr yn datrys tra bydd y pecyn yn cael ei ollwng.

sysctl -w net.ipv4.ip_forward=1
ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1
ip route get 10.40.0.15
traceroute -n 10.40.0.15

Cadwch hidlo ar wahân i gyfieithu

Mae llwybro a pholisi yn rheolyddion gwahanol, a’r ail yw lle mae’r rhan fwyaf o ddyluniadau llwybredig yn methu go iawn. Caniatwch y ffynonellau, y cyrchfannau a’r gwasanaethau penodol ar y ffin fewnbwn y mae’r pecynnau yn ei chroesi, a chofiwch mai enw yw label rhyngwyneb fel WAN, nid datganiad am ymddiriedaeth. Gall porth tramwy sy’n cario traffig preifat fod â rhwystro cyfeiriadau preifat wedi’i alluogi o hyd yn ddiofyn.

Yna edrychwch ar gyfieithu allwynd cyn dod i’r casgliad nad oes NAT yn digwydd. Gall rheolau allwynd awtomatig ailysgrifennu traffig na chafodd ei fwriadu ar gyfer cyfieithu erioed, ac mae hynny’n dinistrio’r cyfeiriadau ffynhonnell y mae’r ochr arall eu hangen ar gyfer ei pholisi a’i logiau. Cadarnhewch fod y llifau a ddewiswyd yn cadw eu cyfeiriadau gwreiddiol, a gadewch reolau cyfieithu’r rhyngrwyd yn llonydd ar gyfer y traffig sydd eu hangen o hyd.

iptables -t nat -S POSTROUTING
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni eth1 -c 5 host 10.40.0.15

Pan fo NAT yn ateb gonest

Mae cyfieithu yn ennill ei le pan fydd yr ystodau cyfeiriadau yn gorgyffwrdd mewn gwirionedd ac nad yw ailrifo ar gael, neu pan fydd polisi yn mynnu bod un ochr yn gweld un cyfeiriad yn hytrach na is-rwydwaith. Yn yr achosion hynny mae mapio bwriadol un-i-un neu gyfyngedig i borthladdoedd yn benderfyniad dylunio â chanlyniadau hysbys, nid yn ffordd o osgoi’r broblem.

Y canlyniad y mae’n rhaid ei ddweud yn uchel yw na all yr ochr arall weld na hidlo ffynonellau unigol mwyach. Mae logiau yn cwympo i’r cyfeiriad cyfieithu, mae polisi fesul gwestai yn rhoi’r gorau i weithio, ac mae datrys problemau yn troi’n helfa i ddarganfod pa westai mewnol oedd yn berchen ar lif ar foment benodol. Os nad oes dim o hyn yn bwysig ar gyfer y traffig dan sylw, mae NAT yn iawn.

Pan fo’r dramwyfa ei hun yn gamdybiaeth

Os yw’r segment a rennir yn croesi darparwr, ffabrig cymudol a rennir, neu unrhyw lwybr lle gallai parti arall ddarllen y traffig, nid yw llwybro yn unig yn ateb cyflawn. Mae twnnel rhwng y ddwy wal dân yn rhoi cyfrinachedd a dilysu cyfoed i chi, ac mae’r tabl llwybro o’i fewn yr un tabl ag y byddech wedi’i ysgrifennu ar y dramwyfa.

Penderfynwch hynny o’r cwestiwn ymddiriedaeth yn yr adran gyntaf, nid o arfer bod VPNau yn fwy diogel. Mae twnnel dros segment sydd eisoes yn breifat yn ychwanegu cost weithredol a modd methu arall heb unrhyw fudd, tra mae llwybro dros segment ansicr yn cyfnewid cyfrinachedd am symlrwydd na allwch ei fforddio. Ysgrifennwch pa un o’r tri amod a arweiniodd y dewis, ac ni fydd yn rhaid i’r peiriannydd nesaf ei ail-drafod.