SNAT aplikatu behar al diozu VPN azpisare baterako portu-birbidalketari?

Routerraren VPN bezeroaren atzean dagoen ostalari batera portu bat birbidaltzeak suebaki arazo baten itxura duen moduan huts egiten du, eskaera argi iristen delako. Zerbitzuak konexio bat erregistratzen du, bezeroak itxaroten du eta ez da ezer itzultzen. Helmugaren itzulpenak bere lana egin zuen; itzulera-paketea da desagertu zen zatia. Routerreko iturri-NAT arau selektibo batek konpontzen du, eta zati interesgarria arau hori zenbat estua izan daitekeen erabakitzea da.

Zergatik hartzen du erantzunak beste bide bat

Portu-birbidalketak paketea nora doan berridazten du, inoiz ez nondik etorri zen. Interneteko bezeroaren helbidea jatorri-eremuan geratzen da tunel osoan zehar, beraz urruneko zerbitzuak arrotz bat ikusten du eta ezagutzen duen modu bakarrean erantzuten du: bere atearen bidez. Ate hori urruneko aldeko VPN kontzentratzailea da, eta ez du biderik berriz ere edozein helbide publikotara.

Begiratu tunelaren interfazean egindako harrapaketa bat eta asimetria begi-bistakoa da: eskaera-paketeak kanpora, ezer ez barrura. Birbidalketa-kateak fluxua onartu zuen eta tunelek eraman zuen, beraz baztertzea urruneko ostalariak itzulera-bide bat dagoeneko aukeratu ondoren gertatzen da.

Konfiantza izateko bezain estua den iturri-araua

Egin routerra urruneko ostalariak erantzuten dion iturria. Diseinu honetan WAN helbidea 203.0.113.24 da, LAN 192.168.88.0/24 da, routerraren tunel-helbidea 172.20.5.1 da, eta zerbitzuak 172.20.5.40:8443 helbidean erantzuten du. Beheko arauak itzulpen osteko paketearekin bat egiten du, horregatik itzulitako helbidea aipatzen du eta ez publikoa. Ezer ez da bezeroaren helbidearen mendeko, eta horixe da kontua.

iptables -t nat -A POSTROUTING -o tun0 -p tcp -d 172.20.5.40 --dport 8443 -j SNAT --to-source 172.20.5.1

Lerro horretako bat-etortze bakoitza berridazketa tunel bateko zerbitzu bakarrera mugatzeko dago. Kendu interfazea edo portua eta arazoak eskatzen duena baino trafiko gehiago berridatziko duzu, eta horrela bihurtzen da zuzenketa zuzendua hurrengo pertsonarentzat misterio.

Noiz da maskarada orokorra aukera zintzoa

Routerrak zerbitzu asko VPN azpisare berera birbidaltzen baditu, zerbitzu bakoitzeko araua inork mantentzen ez duen zerrenda bihurtzen da. Tunelaren interfazetik ateratzen den guztia maskaratzea sinpleagoa eta aurreikusteko errazagoa da, beste aldeko ostalari bakoitzarengandik jatorrizko bezeroa ezkutatzearen truke. Aukeratu hori hango erregistroak esleipenerako erabiltzen ez badira; mantendu arau estua erabiltzen badira.

Bi aukerek ere desberdin huts egiten dute. Falta den arau estuak zerbitzu bat hausten du; gehiegi bat egiten duen maskarada zabalak isilean berridatz ditzake jada funtzionatzen zuen trafikoa, routerraren beraren irteerako konexioak barne.

Egiaztatu kontagailuak argitaratu aurretik

Inoiz bat egiten ez duten arauak berdinak dirudite funtzionatzen duten arauen antzera, paketeak zenbatu arte. Irakurri taula berriro byte-kontagailuekin bezeroak konektatu aurretik, gero konektatu LAN ez den sare batetik eta irakurri berriro. Bi irakurketa dira susmoa egia bihurtzen dutenak. Argitaratu birbidalketa bigarrena mugitu ondoren.

iptables -t nat -L POSTROUTING -v -n --line-numbers

Benetako konexio baten ondoren iturri-arauean zero kontagailuak bat-etortzea okerra dela esan nahi du, normalean helmuga edo portuak itzulpen osteko paketearekin bat egiten ez duelako. Kontagailuak gora egiten badu baina bezeroak oraindik denbora-muga jotzen badu, itzulera-bidea konponduta dago eta beste zerbait ari da erantzuna botatzen, beraz begiratu hurrengo urruneko aldeko birbidalketa-politikari. LANetik barruko hairpin sarbidea arazo bereizia da eta bere araua behar du, ez honen bertsio zabalagoa.