Malsupraj klientoj malantaŭ supra VPN: itinero aŭ NAT?

Unu pordego funkciigas WireGuard por viaj propraj aparatoj kaj OpenVPN-klienton al la reto de iu alia. Plusendo inter la du internaj interfacoj funkcias, kaj facile eblas konkludi, ke la malsupra subreto nun estas parto de la supra servo. Ĝi ne estas. Itinero eltirita de la kliento diras al via pordego, kien sendi petojn; ĝi diras nenion pri tio, kiel la fora reto resendas trafikon al aparatoj, pri kiuj ĝi neniam aŭdis. Elektu resendan modelon, kiun la supra servo efektive subtenas, antaŭ ol aldoni eĉ unu regulon.

Decidu la resendan modelon antaŭ ol tuŝi la enkursigadon

En ĉi tiu trairo, malsupraj klientoj uzas 10.90.0.0/24, la supra tunela adreso atribuita al la pordego estas 10.80.0.6, kaj la aprobita fora rimedo estas 172.20.0.30. Du modeloj taŭgas por tiu formo: konservi la malsupran fonton kaj igi la foran flankon enkursigi ĝin, aŭ traduki la fonton al la propra tunela adreso de la pordego. Ĉio post ĉi tiu decido estas mekanika, kaj la decido mem bezonas la posedanton de la servo. Unu vico supre estas enkursiga interkonsento kun la fora flanko; la alia estas loka politika ŝanĝo, kiun vi povas fari sole. Konfuzi la du estas tio, kio igas dekminutan ŝanĝon traktado.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Elektu unu vicon kaj tenu vin al ĝi. La vicoj estas alternativoj, ne paŝoj, kaj miksado de ili produktas dezajnon, kiun neniu povas klarigi dum revizio.

Enkursigita konservo de la fonto

La fora flanko ricevas peton de malsupra adreso, do ĝi bezonas subtenatan itineron kaj peer-proprieton por tiu subreto, plus rajtigon akcepti ĝin. Tiuj estas foraj agordoj, kaj neniu loka Linux-itinero kreas ilin. Petu ilin eksplicite, skribe, kun la prefikso kaj la tunela peer, kiu portos ĝin, kaj atendu, ke la respondo dependos de tio, ĉu la servo entute subtenas interkonsentojn de loko al loko.

Se la respondo estas jes, la loka agordo estas malgranda: plusendo ŝaltita, la allowed-ips de la WireGuard-peer kovrantaj la malsupran aron, kaj fajroŝirma politiko, kiu permesas la transiron en ambaŭ direktoj.

Intenca fonta traduko

Se la servo resendas trafikon nur al la konektita klienta adreso, traduku la fonton al tiu adreso sur la elira vojo kaj konservu la conntrack-staton, kiu inversigas ĝin por respondoj. Limigu la regulon al la celataj malsupraj fontoj, la celataj foraj celoj kaj la supra interfaco. Regulo, kiu tradukas ĉion, kio eliras el ĉiu interfaco, estas multe pli granda politiko ol ĉi tiu postulo, kaj ĝi surprizos vin poste.

IPv6 bezonas propran dezajnon; kopii IPv4-masquerade-linion ne estas arkitekturo. Testu la tradukitan vojon per nova konekto, ne per kaŝmemorita.

La loka datenvojo ankoraŭ devas funkcii

Traduko ne forigas la lokan laboron: la pordego ankoraŭ bezonas itineron por malsupraj celoj, la ĝustan fontan proprieton de la WireGuard-peer, ŝaltitan plusendon kaj mallarĝan fajroŝirman politikon inter interfacoj. Peto generita sur la pordego mem ne praktikas iun el tiuj permesoj, kaj tial lokaj testoj sur la pordego pasas, dum malsupraj aparatoj ankoraŭ malsukcesas.

Testu de reala malsupra aparato, ne de la pordego. La fonta adreso estas la tuta senco de la ekzerco.

Unu fonto signifas unu seanco-identecon

La fora servo vidas la aŭtentikigitan seancon de la pordego kaj ĝian tradukitan adreson, ne sendependan aŭtentikigon por ĉiu malsupra aparato. Tenu per-aparatajn permesojn kaj aplikaĵajn identecojn eksplicitaj, kaj konfirmu ĉe la posedanto de la servo, ke pordego aganta por pluraj aparatoj entute estas permesata. Traduko ne estas maniero eviti postulon pri per-aparata aliĝo; se la servo postulas, ke ĉiu aparato aliĝu, uzu tiun modelon aŭ intertraktu interkonsenton de loko al loko.

Skribu tiun konfirmon en la runlibron apud la regulo, ĉar la sekva recenzanto demandos, ĉu la dezajno estis aprobita aŭ nur oportuna.

Difinu la malkonektitan staton, poste testu tri petojn

Decidu, kio okazas, kiam la supra tunelo falas. Rajtigita fora trafiko ne devas silente sekvi ordinaran WAN-rezervan vojon tie, kie tio estas malpermesita, do la fajroŝirma politiko, kiu permesas la transiron, ankaŭ devas malsukcesi fermite. Poste testu tri kazojn de reala malsupra aparato: permesita peto, kiu funkcias, malpermesita peto, kiu malsukcesas, kaj supra paneo, kiu haltigas la permesitan.

Registru la malfaron en unu linio por regulo, por ke la ŝanĝo povu esti nuligita sen rekonstrui la intencon.