Mugatu OpenVPN SNAT araua nginx hautsi aurretik

Bi hutsegite iristen dira etengabe mota bereko ostalaritik. Lehenengoan bezeroak autentifikatu eta gero tunelaz harago ezer ez dute lortzen. Bigarrenean VPN-a altxatu eta zerbitzariaren beraren webgunea erantzuteari uzten dio, eta hori da kezkagarriena kalte kolateralaren itxura duelako. Container-etan oinarritutako VPS batean biak egiaztapen zerrenda labur berberera itzultzen dira normalean, eta ordena garrantzitsua da: gailua lehenengo, itzulpena bigarren, irismena hirugarren.

Egiaztatu container-ak tun gailu bat sortu dezakeela

Beste ezerk ez du garrantzirik tunel interfazea existitu ezin bada. Egiaztatu /dev/net/tun badagoela eta proba-gailu bat sortzeak arrakasta duela, hornitzaile askok container-en tun desgaituta uzten baitute lehenespenez. Firewall lanik ez da inoiz sortu ez zen gailu bat konpentsatzeko adina.

Gailua falta bada, ostalarik edo hornitzaileak soilik gaitu dezake. Beste plan bat sarritan aste bat irauten duen laguntza-hari irekia baino merkeagoa da. Egiaztatu hau OpenVPN erregistroko lerro bakarra irakurri aurretik. Bestela, inoiz paketerik ikusiko ez duten arauak doitzen igaroko duzu gaua.

Erabaki zer egiten duen MASQUERADE-k interfaze honetan

Makina birtual arruntean ohiko irteera-araua da POSTROUTING MASQUERADE interfaze nagusitik. OpenVZ container batean ikusgai dagoen gailua sarritan venet0 da, ostalariak kudeatutako interfaze birtuala, ez bideratutako NIC bat, eta MASQUERADE-k ez du han beti tutorialek suposatzen duten moduan jokatzen.

Forma erabilgarria bezeroek jada lortzen duten helbiderako itzulpen esplizitua da, bi noranzkoetan birbidaltzea baimenduta. Zerbitzariaren konfiguraziotik pool-a ordezkatzea helbidea ordezkatzea bezain garrantzitsua da. Irakurri lerro bakoitza itsatsi aurretik.

iptables -t nat -A POSTROUTING -o venet0 -s 10.8.0.0/24 -j SNAT --to-source 203.0.113.10
iptables -A FORWARD -i tun0 -j ACCEPT
iptables -A FORWARD -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Birbidaltze-arauak gabe itzulpenak egiten jarraitzen du eta kernelak birbidaltzeari uko egiten dio. Konbinazio horrek egoera nahasia sortzen du: NAT arauko kontagailuak igotzen dira bezeroak ezer jasotzen ez duen bitartean. FORWARD bi lerroek ere drop arau zabal baten aurretik egon behar dute kate berean. Ordena konfigurazioaren parte da, ez inplementazio-xehetasun bat.

Mugatu araua pool bakarrera eta interfaze bakarrera

Bigarren sintomak beste kausa bat du: iturburu-murrizketarik eta irteera-murrizketarik gabeko POSTROUTING araua. Halako arau batek ostalaria uzten duen pakete bakoitza berridazten du.

Jatorrizko iturburuaren mende dauden zerbitzuek gaizki jokatzen dute orduan. Proxy lokal baten atzean dagoen web zerbitzari batek erantzuteari utz diezaioke, eta berrabiarazteak ez du ezer aldatzen araua oraindik bidean dagoelako. Ostalariak bere helbide publikora bidaltzen duen trafikoa ere kaltetuta dago, eta horregatik hutsegitea DNS edo ziurtagiri arazo baten itxura har dezake firewall arazo baten ordez. Araua ia ziur lehen sintoma konpontzeko gehitu zela.

Konponbidea da bat-etortzea tunel pool-era eta irteera-interfazera estutzea, eta gero pool bakoitzeko arau bat gehitzea arau bakarra hainbat estaltzeko zabaltzearen ordez.

Egin arauak iraunkor eta jakin itzazu nor beste jabea

Eskuz gehitutako arauak berrabiaraztean desagertzen dira, beraz gorde itzazu iptables-save erabiliz edo kudeatu netfilter-persistent bidez instalatuta dagoen lekuan. Egiaztatu berreskuratzea OpenVPN hasi aurretik exekutatzen dela. Ondoren, behin berrabiarazi nahita, hutsunea gertakari baten erdian aurkitu beharrean.

Container ostalari batean, egiaztatu ere iraunkortasun fitxategia container biltegiratze idazgarrian dagoela eta hornitzaileak ez duela iragazketa ordezkatzen abioan. Plataforma batzuek politika container-etik kanpo kudeatzen dute, non arau lokalak alde batera uzten diren edo ostalariaren beraren arauekin borrokatzen diren.

Egiaztatu kontagailuekin eta harrapatutako fluxu batekin

Konektatutako bezero batetik, egiaztatu kanpoko zerbitzu batek jakinarazten duen helbide publikoa. Zerbitzariaren helbidearekin bat badator, itzulpenak funtzionatzen du; bat ez badator, paketea beste bide batetik irteten da edo ez da batere irteten. Ondoren probatu zerbitzarian ostatatutako zerbitzu bat eta internet publikoan beste bat, arau-multzo beretik bide desberdinak egiten baitituzte.

Zerbitzarian, irakurri NAT eta FORWARD arauetako pakete-kontagailuak iptables -t nat -L -v -n erabiliz eta behatu fluxu bat harrapaketa batean. Bezeroaren helbidea harrapaketan agertzen bada eta erantzunik etortzen ez bada, hutsunea itzulera-bidean edo hornitzailearen iragazketan dago, ez bezeroaren profilean. Alderatu harrapatutako iturburua arauak itzultzen duen helbidearekin, desadostasunak beste arau bat lehenago etorri zela esan nahi baitu. Behatutako fluxu batek konfigurazioa irakurtzeko orri bat baino gehiago argitzen du.

Eduki pool-a, itzulitako helbidea eta interfazearen izena elkarrekin aldaketa-erregistroan. Pool baterako zuzena den arauak hurrengoa oker itzultzen du.