Zerbitzariaren IPa aldatu ondoren, SNAT arauak zaharra izendatzen du oraindik

Zerbitzaria helbide berri batera aldatu da, bezeroak oraindik konektatzen dira, eta bidaltzen duten ezerk ez du internetera iristen. Banaketa hori da arrastoa: entzuten duen socketak eta ataka-aurrerapenak bizirik iraun zuten lekualdaketarekin, beraz tunela altxatzen da, bitartean aurreratutako paketeei aplikatzen zaien jatorrizko itzulpena oraindik ostalariak jada ez duen helbide bat izendatzen du. Berridatzitako pakete horien erantzunak jada ez dagoen makina batera joaten dira.

Konektatzeak eta aurreratzeak toki desberdinetan huts egiten dute

Ezarpena bezeroek jada ezagutzen duten amaierako puntuaren araberakoa da: helbide publikoa, haren aurreko ataka-aurrerapena eta barruneko entzulea. Aurreratutako trafikoa paketea tunelera sartu ondoren hartzen den bigarren erabakiaren araberakoa da, ostalariak bere jatorria birridazten duenean erantzunek itzuliko bidea aurki dezaten.

Helbide aldaketak bigarren erabakia baino ez du hausten, eta horregatik sintoma "konektatuta baina internetik gabe" gisa irakurtzen da. Horrek ere azaltzen du zergatik bezeroaren aldeko ohiko egiaztapenek osasuntsu diruditen: esku-ukaldia osatzen da, bezeroak helbide bat jasotzen du, eta zerbitzariaren tunel helbiderako ping-ek erantzun dezake. Orduak galtzen dira bezeroan beste aldean bizi den akats batengatik, eta horregatik arauen taula da lehen begiratzeko tokia.

Irakurri araua eta haren kontagailuak editatu aurretik

Zerrendatu itzulpen arauak kontagailuekin eta alderatu konfiguratutako jatorria ostalariak benetan dituen helbideekin. Helbide hildako batera birridatzitako arau batek sarrerako bidean trafikoa erakusten du normalean, paketeak harengana iristen eta itzultzen direlako, eta itzulera bidean ezer ez.

sudo iptables -t nat -L POSTROUTING -n -v --line-numbers
ip -4 addr show

Egiaztatu hiru eremu han zauden bitartean: jatorriaren bat-etortzeko multzoa, irteerako interfazea arauak bat izendatzen badu, eta tunelen arteko trafikoa birridaztea eragozten duen bazterketa. Bazterketa hori erraza da editatzean galtzea, eta galtzeak parekoen arteko trafikoak funtzionatzen duela ematen du, haren erantzunek bide arraroa hartzen duten bitartean.

Kontagailuak zerotik itsatsita badaude, paketeak ez dira inoiz arau honetara iristen eta helbidea ez da oraingo arazoa. Bilatu lehia-arau bat katean lehenago, hau gertatzen da norbaitek ordezko bat gehitzen duenean originala editatu beharrean. Alderatu arauen zenbakiak duela minutu bat idatzitako irteerarekin. Ordena konfigurazioaren parte da, ez xehetasun kosmetiko bat.

Ordeztu jatorria, edo utzi bat izendatzeari

Ostalariak helbide egonkorra duenean, ordeztu araua bere tokian beste bat gehitu beharrean. Arau zenbakiaren araberako ordezkapenak katearen gainerakoak behar duen ordena mantentzen du.

sudo iptables -t nat -R POSTROUTING 1 -s 10.8.0.0/24 ! -d 10.8.0.0/24 -j SNAT --to-source 10.151.0.40

Helbidea modu dinamikoan esleitzen denean, ez izendatu jatorririk eta utzi nukleoari unekoa irteerako interfazetik aukeratzen. Aldaera horrek hurrengo lekualdaketa editatu gabe gainditzen du, zein helbide erabili zen ezkutatzearen truke.

sudo iptables -t nat -R POSTROUTING 1 -s 10.8.0.0/24 ! -d 10.8.0.0/24 -o eth0 -j MASQUERADE

Egiaztatu IPv4 aurrerapena kudeatutako konfigurazioaren bidez oraindik gaituta dagoela, eta gero egin araua iraunkorra banaketaren mekanismo propioarekin. Exekuzioan dagoen nukleoan soilik egindako aldaketa hurrengo berrabiaraztean itzultzen da, normalean inork aldaketarekin lotzen ez duen mantentze-leiho batean.

Ordezkapena gaizki egiteko bi modu

Multzoa zerbitzariaren tunel helbidera itzultzeak, haren LAN helbidera beharrean, erantzunak zuzenean tunelera bidaltzen ditu, eta han inoiz eskatu ez zituen bezero baterantz bideratzen dira. Konexioa bideratze-begizta baten antzera gelditzen da, begizta delako.

Bigarren itzulpen bat zaharraren gainean pilatzea da beste akatsa. Lehen bat datozen arauak irabazten du, beraz sarrera zaharkituak paketeak kudeatzen jarraitzen du ezabatu arte, eta arau berriaren kontagailuak zerotan geratzen dira denek ordezkapena erruztatzen duten bitartean. Ezabatu bikoiztua ezer berririk gehitu aurretik. Gero irakurri zerrenda beste behin eta egiaztatu itzulpen bakar bat datorrela multzoarekin.

Tunelak IPv6 ere garraiatzen badu, errepikatu berrikuspen osoa beste pilan. IPv6 bideratze lehenetsiak itzulpenik eta bideratutako aurrizkirik gabe huts egiten du isil-isilik, eta erraza da ahaztea gainean dena berdin ikusten delako.

Sarrerako zerbitzuek kontrako itzulpena behar dute

Kanpotik irisgarri izan behar duen VPN bezero bateko zerbitzuak helmugako itzulpena behar du, ez jatorrizkoa: ataka publikoa bezeroaren tunel helbidera birridazten da sartu aurretik. Aurreratze-bideak, orduan, trafiko hori baimentzen duen arau esplizitua behar du.

sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 10.9.8.2:8080

Ez itzuli inoiz tunela bera daraman ataka, birridazketa horrek zerbitzua irisgarri mantentzen duen konexioa eteten baitu. Eutsi tunel ataka helmuga arauetatik erabat kanpo. Amaitzeko, egiaztatu bi muturretatik: kontagailuak arau berrian, grabaketa labur bat tunel gailuan eta tunelaren barneko helbide baterako eskaera bat publikoa probatu aurretik.