Allavoolu kliendid ülemvõrgu VPN-i taga: marsruut või NAT?

Üks lüüs jooksutab WireGuardit sinu enda seadmete jaoks ja OpenVPN klienti kellegi teise võrgu suunas. Edastamine kahe sisemise liidese vahel töötab ja lihtne on järeldada, et allavoolu alamvõrk on nüüd ülemvõrgu teenuse osa. Ei ole. Kliendi tõmmatud marsruut ütleb sinu lüüsile, kuhu päringuid saata; see ei ütle midagi selle kohta, kuidas kaugvõrk tagastab liiklust seadmetele, millest see pole kunagi kuulnud. Vali tagastusmudel, mida ülemvõrk tegelikult toetab, enne kui lisad kasvõi ühe reegli.

Otsusta tagastusmudel enne, kui marsruutimist puudutad

Selles läbimängus kasutavad allavoolu kliendid 10.90.0.0/24, lüüsile määratud ülemvõrgu tunneliaadress on 10.80.0.6 ja heakskiidetud kaugressurss on 172.20.0.30. Sellele kujule sobivad kaks mudelit: säilita allavoolu lähteaadress ja pane kauge pool seda marsruutima, või tõlgi lähteaadress lüüsi enda tunneliaadressiks. Kõik pärast seda otsust on mehaaniline ja otsus ise vajab teenuse omanikku. Üks rida ülal on marsruudikokkulepe kauge poolega; teine on kohalik poliitikamuudatus, mille saad ise teha. Nende kahe segamine muudab kümne minuti muudatuse läbirääkimisteks.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Vali üks rida ja püsi selle juures. Read on alternatiivid, mitte sammud, ja nende segamine annab disaini, mida keegi ülevaatusel seletada ei suuda.

Marsruuditud lähteaadressi säilitamine

Kauge pool saab päringu allavoolu aadressilt, seega vajab see selle alamvõrgu jaoks toetatud marsruuti ja peer-omandit, lisaks luba selle vastuvõtmiseks. Need on kaugseaded ja ükski kohalik Linuxi marsruut neid ei loo. Küsi neid selgesõnaliselt ja kirjalikult, koos prefiksi ja selle tunnelpeeriga, mis seda kannab, ning eelda, et vastus sõltub sellest, kas teenus üldse saidi-saidi lahendusi toetab.

Kui vastus on jah, siis kohalik konfiguratsioon on väike: edastamine lubatud, allavoolu vahemikku katvad WireGuard-peeri allowed-ips-id ja tulemüüripoliitika, mis lubab ületust mõlemas suunas.

Teadlik lähteaadressi tõlkimine

Kui teenus tagastab liiklust ainult ühendatud kliendi aadressile, tõlgi lähteaadress väljumisel selleks aadressiks ja hoia conntrack-olekut, mis selle vastusteks tagurpidi pöörab. Piira reegel kavatsetud allavoolu allikate, kavatsetud kaugsihtide ja ülemvõrgu liidesega. Reegel, mis tõlgib kõik, mis igalt liideselt väljub, on sellest nõudest palju suurem poliitika ja üllatab sind hiljem.

IPv6 vajab omaette disaini; IPv4 masquerade-rea kopeerimine ei ole arhitektuur. Testi tõlgitud teekonda uue ühendusega, mitte vahemällu salvestatud ühendusega.

Kohalik andmetee peab ikkagi töötama

Tõlkimine ei vabasta kohalikust tööst: lüüs vajab endiselt marsruuti allavoolu sihtkohtadele, õiget WireGuard-peeri lähteomandit, lubatud edastamist ja kitsast tulemüüripoliitikat liideste vahel. Lüüsil endal loodud päring ei harjuta ühtegi neist lubadest, mistõttu lüüsi kohalikud testid läbivad, aga allavoolu seadmed ikka ebaõnnestuvad.

Testi tegelikult allavoolu seadmelt, mitte lüüsilt. Lähteaadress on kogu harjutuse mõte.

Üks allikas tähendab üht seansiidentiteeti

Kaugteenus näeb lüüsi autenditud seanssi ja selle tõlgitud aadressi, mitte iga allavoolu seadme iseseisvat autentimist. Hoia seadmepõhised õigused ja rakenduste identiteedid selgesõnalistena ning kinnita teenuse omanikult, et mitme seadme eest tegutsev lüüs on üldse lubatud. Tõlkimine ei ole viis seadmepõhise registreerimise nõude mööda hiilimiseks; kui teenus nõuab iga seadme registreerimist, kasuta seda mudelit või lepi kokku saidi-saidi lahendus.

Kirjuta see kinnitus runbooki reegli kõrvale, sest järgmine ülevaataja küsib, kas disain kiideti heaks või oli see lihtsalt mugav.

Määratle katkestatud olek ja testi seejärel kolme päringut

Otsusta, mis juhtub, kui ülemvõrgu tunnel katkeb. Volitatud kaugliiklus ei tohiks vaikselt järgida tavalist WAN-i varuteed seal, kus see on keelatud, seega tulemüüripoliitika, mis ületust lubab, peaks samuti suletult ebaõnnestuma. Seejärel testi kolme juhtumit tegelikult allavoolu seadmelt: lubatud päring, mis töötab, keelatud päring, mis ebaõnnestub, ja ülemvõrgu tõrge, mis peatab lubatud päringu.

Kirjenda tagasipööramine üks rida reegli kohta, et muudatuse saaks tagasi võtta ilma kavatsust rekonstrueerimata.