LANaren NAT tun0 bidez OpenBSD VPN atebide batean

OpenBSD atebide bera jaso duten bi ingeniari askotan bi arau-multzo desberdin emango dizkizute urrutiko sare batera iristeko, eta biak defendagarriak dira. Iturburu-itzulpenaren eta itzulera-bidearen arteko hautua ez da inola ere sintaxi-kontua. Urrutiko aldeak 192.168.88.0/24ri buruz dagoeneko dakienaren eta zure logetan gorde behar duzunaren araberakoa da. Hori gaizki egiten baduzu, nat-to lerroa erabat zuzena emango du, erantzunak urrutiko lehenetsitako atebidean desagertzen diren bitartean.

Bideratzeak eta berridazketak galdera desberdinak erantzuten dituzte

Bideratze-taulak erabakitzen du 172.20.0.0/16 tun0 bidez irisgarria dela, eta erabaki hori pf-ren edozein itzulpen kontsultatu baino lehen hartzen da. Iturburu-itzulpenak paketearen goiburua aldatzen du, urrutiko muturrak atebidearen tunel-helbidea ikus dezan LAN ostalari baten ordez. Mekanismo batek ez du bestea ordezkatzen: nat arau batek ezin du biderik hutsetik sortu, eta bide batek ezin du konbentzitu zure azpisare pribatuaz inoiz entzun ez duen urrutiko bideratzaile bat. Urrutiko aldeak itzulera-biderik ez duenean, erantzunak baztertu edo bere lehenetsitako atebidera bidaltzen dira, eta arauen doikuntza oro ez da hori konpontzeko gai.

Argi esanda, birbidalketak trafikoa nora doan erantzuten du, eta itzulpenak nori dagokion itxuraz erantzuten du. Mantendu itzazu pentsamendu-kutxa bereizietan arau-multzoa diseinatzen duzun bitartean.

Hiru baldintzak erabakitzen dute

Egin hiru galdera ordenan, eta diseinuak normalean bere burua aukeratzen du. Urrutiko sareak 192.168.88.0/24rako tunel-helbidea seinalatzen duen bide estatiko bat al du, edo bere administratzaileak kontrolatzen ditu bide horretako bideratzaileak? Erantzuna bada bai, utzi LAN helbideei aldatu gabe bidaiatzen eta utzi itzulpena erabat. Behar duzu bezero bakoitzeko ikusgaitasuna urrutiko aldean, bai sarbide-politikarako bai auditoria-arrastorako? Erantzuna bada bai, iturburua gordetzeak merezi du bideratze-lanak. Tunel-helbidea nahikoa egonkorra al da urrutiko bide batean idazteko, edo konexio berrien artean aldatzen da?

Erantzunen bat ez edo ezezaguna bada, nat-to aukera pragmatikoa da, eta itzulgarria ere bada. Itzulpen-araua lerro bakarrean kentzen da urrutiko aldeak bide egokia gehitzen duenean. Inoiz instalatu ez zen itzulera-bide batek laguntza-hari bat kostatzen dizu norbaitek tunela zergatik norabide bakarrean bakarrik funtzionatzen duen galdetzen duen bakoitzean.

Kokatu zatia pf-ek benetan ebaluatuko duen tokian

Beheko zatiak suposatzen du LAN 192.168.88.0/24 dela, urrutiko sarea 172.20.0.0/16 dela eta tunel-interfazea tun0 dela. Ezerk ez du hurrengo jauzia aukeratzen. Jadanik tunel bidez irteten ari diren paketeetan soilik berridazten du iturburua.

match out on tun0 inet from 192.168.88.0/24 to 172.20.0.0/16 nat-to (tun0)
pass in on em0 inet from 192.168.88.0/24 to any keep state

Lehen lerro hartako bi xehetasunek daramate pisuaren zatirik handiena. tun0 inguruko parentesiek pf-i esaten diote interfaze-helbidea irakurtzeko egoera-sarrera bat eraikitzen duen bakoitzean, eta hori garrantzitsua da tunela konexio berri baten ondoren berriro zenbakitzen denean. match hitzak esan nahi du arauak berridazten duela eta gero erortzen dela, beraz pass arau bereizi batek fluxua onartu behar du oraindik. match lerroan izendatutako interfazea bideratze-taulak hautatzen duena ere izan behar da, bestela pf-ek araua paketeak benetan hartzen duen irteera-bide ezberdinean ebaluatzen du.

Ez ahaztu kernel aldea. IPv4 birbidalketa gaituta egon behar da, eta tunel eta LANerako egoeradun pass arauak egon behar dute, horrek guztiak zentzurik izan baino lehen. OpenBSD FAQ-ren PF NAT atala da hemen gako-hitzen ordenarako erreferentzia egokia.

Egiaztatu arau-multzoa trafikoan fidatu aurretik

Egiaztatu sintaxia lehenengo pfctl -nf /etc/pf.conf erabiliz, fitxategia kargatu gabe analizatzen baitu. Gero kargatu politika eta irakurri kernelak benetan zer duen, garbi analizatutako arau bat itzalita egon daitekeelako edo interfaze okerrean itsatsita egon daitekeelako. pfctl -sn-k itzulpen-arauak kargatutako forman inprimatzen ditu, eta pfctl -sr-k iragazki-arauak ebaluazio-ordenan.

Ondoren begiratu kablea. Atebidean, tcpdump -ni tun0 'host 172.20.0.10'-k erakusten du tunela uzten duen iturburu-helbidea tunel-helbidea ala LAN ostalaria den. netstat -rn -f inet azkar batek baieztatzen du helmuga zein interfazetara ebazten den. Trafikoa hasi eta gero, pfctl -ss-k egoera-sarrerak zerrendatzen ditu; fluxu batek egoerarik sortu ez badu, paketeak ez zion inoiz bat sortzen duen arau bati erantzun.

Tunel aldeak ondo ematen badu eta erantzunak oraindik inoiz iristen ez badira, utzi pf editatzen. Gainerako hutsegitea urrutiko bideratzailean dago, non erantzuna alde horrek iritsi ezin duen helbide pribatu batera bidaltzen da.

Itzulpenak aurrezten duena baino gehiago kostatzen duenean

Itzulpenak bezeroak ezkutatzen ditu, eta batzuetan hori da hain zuzen truke okerra. Gainjarritako azpisareak kasu bat dira: urrutiko aldeak ere 192.168.88.0/24 erabiltzen badu barnean, LAN ostalariak atebide gisa aurkezteak talka okerragotzen du, ez hobe. Trafikoa helbide-parearen arabera hautatzen duten IPsec politikek beste bat dira, segurtasun-politika datu-basea itzulpenaren aurretik parekatzen delako eta inoiz ez du zure pakete berridatzia ikusten. Erabiltzaileko fakturatzen, mugatzen edo auditoretzen duen edozein inplantaziok ere behar duen identitatea galtzen du iturburua helbide bakarrera erortzen den unean.

pf eratorri eramangarriak tranpa bereizia dira. Beren arau-fitxategiak sortzen dituzten produktuek NAT beren interfazearen bidez konfiguratzea espero dute, eta eskuz editatutako zatiak hurrengo birkarganketan gainidazten dira. match gako-hitza existitu aurretik idatzitako gidatatik kopiatutako arau-multzoak ez dira uneko kernel batean kargatuko, beraz eraman sintaxia eta irakurri errorea asmatu beharrean.

Benetako sareekin harremanetan irauten duen erabaki-araua laburra da: instalatu itzulera-bide bat ahal duzunean, itzuli ezin duzunean, eta idatzi hiru baldintzetatik zeinek bultzatu zintuen aukeratzera. Ohar horrek hurrengoari arratsalde bat aurrezten dio.