Masquerade edo politika bidezko bideratzea: LAN trafikoa VPN atebide baten bidez

LAN oso bat VPN tunel baten atzean jartzea erraza da; urruneko aldeak bezero horiek nola ikusten dituen erabakitzea ez. Masquerade-k LAN iturburu bakoitza atebidearen tunel helbidera berridazten du, beraz urruneko muturrak pare bakarrari erantzuten dio. Politika bidezko bideratzeak jatorrizko helbideak mantentzen ditu eta urruneko aldeak haietara nola iritsi jakin behar du. Biak ez dira lehenetsia; aukera urruneko aldea nor den eta gailu bakoitzeko identitatea garrantzitsua den araberakoa da.

Bi diseinuek gauza desberdinak agintzen dituzte

Masquerade-k LAN-a host ikusgai bakarrera murrizten du: atebidea. Urruneko sareak helbide horri erantzuten dio, eta atebideak erantzunak fluxua hasi zuen bezeroarengana itzultzen ditu. Urruneko aldean ez da zure prefijo pribatuetarako biderik behar, eta horregatik diseinu honek haiek eramateari uko egiten dion hornitzaile batekin irauten du. Atebidea konexio guztien iturburu bihurtzen da, beraz urruneko aldeak ezin ditu bi bezero bereizi.

Politika bidezko bideratzeak bezero bakoitzaren helbidea osorik mantentzen du. Urruneko sareak benetako iturburua ikusten du eta erregistra dezake, host bakoitzeko araua aplikatu edo erantzuna zuzenean helbide horretara bidali. Ikusgaitasun hori da kontua, eta betebehar bat dakar: urruneko aldeak LAN prefijoaren bidea izan behar du, tuneletik atzera seinalatzen duena. Plana ezazu bide hori araua gaitu aurretik, tunelak hala ere altxatuko baita eta erantzunak soilik faltako baitira.

Hutsegite-moduek agintzaren adina desberdintzen dute. Masquerade arau bat faltako balitz, iturburu pribatuekin irteten diren eta inoiz itzultzen ez diren paketeak sortzen dira. Itzulera-bide bat faltako balitz, sintoma bera gertatzen da politika bidezko bideratzean, baina konponbidea urruneko routerrean dagokio, ez atebidean.

Masquerade: pare bat urruneko aldean

Masquerade bideak garrantzia duen ordena du. Birbidalketa gaitu behar da NAT arau batek zerbait baliozko egin dezan, iragazte-taulak bi noranzkoetan igarotzea ahalbidetu behar du, eta orduan soilik aplikatzen da itzulpena tunel interfazean.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i eth1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Bezeroek oraindik bidea behar dute atebidera. Edo atebidea da haien router lehenetsia, edo urruneko prefijorako bide zehatza daramate; router bereizia lehenetsia izaten jarraitzen badu, router horrek bide estatiko bat behar du tunelaren helmugatarako, bestela paketea okerreko jauzira doa atebideak ikusi aurretik.

DNS erabaki bereizia da. Urruneko aldeko resolutzaile batek erantzuten du soilik bere erantzuna bezeroarengana itzul badaiteke. Masquerade-rekin kontsulta atebidetik datorrela ematen du, beraz resolutzailearen itzulera-bidea beteta dago; politika bidezko bideratzearekin resolutzaileak beste urruneko zerbitzu orok bezain itzulera-bide bera behar du.

Politika bidezko bideratzea: mantendu iturburua, gehitu itzulera-bidea

Politika bidezko bideratzea taula batekin eta hura hautatzen duen arau batekin hasten da. LAN interfazetik sartzen den trafikoa taula dedikatu batera bidaltzen da, eta taula horrek tunelaren bidezko bide lehenetsia darama. Taula nagusia ukitu gabe geratzen da, beraz atebideak berak sortutako trafikoak beste bide bat har dezake.

ip rule add iif eth1 table vpn
ip route add default dev tun0 table vpn

Orduan urruneko aldeak LAN prefijoa tuneletik atzera bideratu behar du. Hori urruneko routerrean egiten den konfigurazioa da, ez atebide honetan. Atebideak taula nagusiak aurreikusiko lukeen interfaze ezberdin batean iristen diren erantzunak ere onartu behar ditu; alderantzizko bidearen iragazketa lasaia (rp_filter 2-ra ezarrita) ohiko doikuntza da modu zorrotzak pakete horiek botatzen dituenean.

Bi tunel aktibo daudenean, markatu fluxu bakoitza sartzean eta utzi markari taula aukeratzen. Sarrera-interfazea soilik begiratzen duen arau batek bi tunelen trafikoa taula berera bidaltzen du, beraz bigarren tunelak lehenengoaren fluxuak lapurtzen ditu. Probatu marka hori berrerakuntzari bizirauten dion konexio batekin, orduan agertzen baita politika mistoa.

Erabaki jabetzaren eta urruneko aldeak erregistratzen duenaren arabera

Tunela hornitzaile batean amaitzen bada, erabili masquerade. Operadore horrek ez ditu zure LAN barruti pribatuak bideratuko, eta ez du zure atebidearen atzeko bezero indibidualak bereizteko arrazoirik. Pare ikusgai bakarra da bere politikak onartzen duen modeloa, beraz eman hori eta eduki itzulpena zure ertzean. Hornitzaileak pare bat ikusten du, hain zuzen bere politikak espero duena, eta zure bezeroek identitate bakarra heredatzen dute.

Bi muturrak zureak badira eta urruneko zerbitzuek iturburu-helbideen arabera jokatzen badute, politika bidezko bideratzeak bere bide gehigarria merezi du. Su-hesi arauek, erabiltzaile bakoitzeko sarbideak eta auditoria-erregistroek bezeroak bereiz ditzakete orduan. Urruneko aldeak eskuragarritasuna soilik behar badu, masquerade sinpleagoa da eta itzulera-bideko erroreen klase bat kentzen du.

Diseinu hibridoak normalak dira: politika bidezko bideratzea zure sarean, masquerade hornitzailearen ertzean. Garrantzitsua da idaztea zein jauzik itzultzen duen eta zein jauzik bideratzen duen, bezero batentzat ustekabean gehitutako NAT arau batek kate bereko bezero guztien iturburua ezkutatzen baitu.

Egiaztatu bezero batetik, gero bigarren bezero batetik

Exekutatu proba trafikoa hasten den tokian. Egiaztatu hostak erabiltzen duen bidea, begiratu paketea tunel interfazean agertzen den, eta aztertu conntrack itzulpenaren bila. Segida horrek frogatzen du paketeak nahi zen bidea hartu zuela, ez soilik nonbait iritsi zela.

Errepikatu proba berrerakuntza baten ondoren. Interfazea izendatzen duen masquerade arauak tunel helbide berriari bizirauten dio; helbide zaharra izendatzen duen arauak ez. Gero probatu bigarren LAN host bat, makina batean funtzionatzen duen diseinuak maiz makina horren beraren bidearen mende egoten baita, ez atebidearen politikaren mende.

Idatzi hautatutako modeloa, itzulitako edo gordetako iturburua eta itzulera-bidearen jabea atebidearen oharretan. Bestela, bezero edo tunel bat gehitzen duen hurrengo pertsonak asmatuko du, eta asmatzea da funtzionatzen duen LANetik VPNrako konfigurazio bat partzial bihurtzeko modua.