Beheragoko bezeroak goiko VPN baten atzean: bidea edo NAT?

Pasabide batek WireGuard exekutatzen du zure gailuetarako eta OpenVPN bezero bat beste norbaiten sarerako. Barneko bi interfazeen arteko birbidalketa funtzionatzen du, eta erraza da ondorioztatzea beheragoko azpisarea goiko zerbitzuaren parte dela orain. Ez da. Bezeroak ateratako bideak zure pasabideari esaten dio nora bidali eskaerak; ez du ezer esaten urruneko sareak inoiz entzun ez dituen gailuei trafikoa nola itzultzen dien. Aukeratu goiko zerbitzuak benetan onartzen duen itzulera-eredu bat arau bakarra gehitu aurretik.

Erabaki itzulera-eredua bideratzea ukitu aurretik

Ibilbide honetan, beheragoko bezeroek 10.90.0.0/24 erabiltzen dute, pasabideari esleitutako goiko tunel-helbidea 10.80.0.6 da, eta onartutako urruneko baliabidea 172.20.0.30 da. Bi ereduk egokitzen dute forma hori: beheragoko iturburua mantendu eta urruneko aldeak bidera dezan lortu, edo iturburua pasabidearen beraren tunel-helbidera itzuli. Erabaki honen ondorengo guztia mekanikoa da, eta erabakiak berak zerbitzuaren jabea behar du. Goiko errenkada bat urruneko aldearekin bideratze-hitzarmena da; bestea zuk bakarrik egin dezakezun tokiko politika-aldaketa da. Biak nahasteak bihurtzen du hamar minutuko aldaketa negoziazio.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Aukeratu errenkada bat eta eutsi hari. Errenkadak alternatibak dira, ez urratsak, eta haiek nahasteak inork berrikuspenean azaldu ezin duen diseinua sortzen du.

Iturburuaren kontserbazioa bideratzearekin

Urruneko aldeak beheragoko helbide batetik jasotzen du eskaera, beraz azpisare horretarako onartutako bide bat eta peer-jabetza behar ditu, eta onartzeko baimena ere bai. Urruneko ezarpenak dira, eta tokiko Linux bide batek ere ez ditu sortzen. Eskatu horiek modu esplizituan eta idatziz, aurrizkiarekin eta eramango duen tunel-peerrekin, eta espero ezazu erantzuna zerbitzuak gunez guneko antolamenduak onartzen dituen ala ez araberakoa izatea.

Erantzuna baiezkoa bada, tokiko konfigurazioa txikia da: birbidalketa gaituta, beheragoko barrutia estaltzen duten WireGuard peerraren allowed-ips-ak, eta zeharkatzea bi norabideetan baimentzen duen suebaki-politika.

Iturburuaren itzulpen deliberatua

Zerbitzuak trafikoa konektatutako bezeroaren helbidera soilik itzultzen badu, itzuli iturburua helbide horretara irteeran eta mantendu erantzunetarako alderantzikatzen duen conntrack egoera. Mugatu araua aurreikusitako beheragoko iturburuetara, aurreikusitako urruneko helmuguetara eta goiko interfazera. Interfaze guztietatik irteten den guztia itzultzen duen araua eskakizun hau baino askoz politika handiagoa da, eta geroago harrituko zaitu.

IPv6k bere diseinua behar du; IPv4 masquerade lerro bat kopiatzea ez da arkitektura. Probatu itzulitako bidea konexio berri batekin, cachean gordetako batekin beharrean.

Tokiko datu-bideak oraindik funtzionatu behar du

Itzulpenak ez du tokiko lana kentzen: pasabideak oraindik behar du bide bat beheragoko helmugei, WireGuard peerraren iturburu-jabetza zuzena, birbidalketa gaituta eta interfazeen arteko suebaki-politika estua. Pasabidean bertan sortutako eskaera batek ez du baimen horietako bat bera ere probatzen, eta horregatik pasabideko tokiko probek gainditzen dute eta beheragoko gailuek huts egiten dute oraindik.

Probatu benetako beheragoko gailu batetik, ez pasabidetik. Iturburu-helbidea da ariketa osoaren zentzua.

Iturburu bakarrak saio-identitate bakarra esan nahi du

Urruneko zerbitzuak pasabidearen saio autentifikatua eta haren helbide itzulia ikusten ditu, ez beheragoko gailu bakoitzerako autentifikazio independentea. Mantendu argi gailu bakoitzeko baimenak eta aplikazio-identitateak, eta berretsi zerbitzuaren jabearekin hainbat gailuren izenean diharduen pasabide bat onartuta dagoela. Itzulpena ez da gailu bakoitzeko erregistro-eskakizuna saihesteko modua; zerbitzuak gailu bakoitza erregistratzea eskatzen badu, erabili eredu hori edo negoziatu gunez guneko antolamendua.

Idatzi berrespen hori runbookean arauaren ondoan, hurrengo berrikusleak galdetuko baitu diseinua onartu zen ala soilik erosoa zen.

Definitu deskonektatutako egoera eta gero probatu hiru eskaera

Erabaki zer gertatzen den goiko tunela erortzen denean. Baimendutako urruneko trafikoak ez luke isilean WANeko ohiko ordezko bidea jarraitu behar debekatuta dagoen tokian, beraz zeharkatzea baimentzen duen suebaki-politikak itxita ere huts egin behar du. Gero probatu hiru kasu benetako beheragoko gailu batetik: funtzionatzen duen eskaera baimendu bat, huts egiten duen eskaera debekatu bat, eta baimendutakoa geldiarazten duen goiko hutsegite bat.

Erregistratu atzera-egitea arau bakoitzeko lerro batean, aldaketa intentzioa berreraiki gabe desegin ahal izateko.