SNAT, DNAT eta Masquerade: zer egiten du VPN NAT arau bakoitzak

Jarri harrapaketa VPN atearen bi aldeetan eta fluxu bakar batek lau helbide desberdin erakutsi ditzake. Iturburu NAT-ak berridazten du paketeak nondik datorren; helmuga NAT-ak berridazten du nora doan. Masquerade ez da hirugarren norabidea, irteerako interfazearen helbidea hartzen duen iturburu NAT araua baizik, balio finkoa erabili ordez. Izenda ezazu hiruretatik zein behar duzun benetan eta «VPN-a hondatuta dago» tiket gehienak itzulera-bideari buruzko galdera bihurtzen dira.

Zer berridazten duen arau bakoitzak

Iturburu NAT-ak, normalean SNAT idatzita, fluxu baten iturburu-helbidea aldatzen du router edo ate bat uzten duenean. Harrerako zerbitzuak itzulitako helbidera erantzuten du, eta itzultzen duen kutxak aldaketa atzera botatzen du konexio horretarako gordetako egoeraz. Linuxen egoera hori conntrack-en bizi da, horregatik conntrack -L-k jatorrizko eta erantzun-tuplak elkarren ondoan inprimatzen ditu.

Helmuga NAT-ak, DNAT-ak, helburua aldatzen du ordez. UDP 51820-ko helbide publiko batera zuzendutako paketea 10.8.0.2:51820-n dagoen barneko WireGuard zerbitzarira berridatz daiteke. Horrela argitaratzen du etxeko router edo hodeiko karga-balantzatzaile batek VPN entzule bat, eta horrek ez du ezer esaten tunelak geroago zer eraman dezakeen.

Masquerade SNAT familiakoa da. Arauak ez du helbiderik izendatzen; paketea irtetean irteerako interfazeak duen helbidea erabiltzen du. Linuxek helburu propioa ematen dio, eta WAN interfazean ohiko aukera da, DHCP edo PPPoE bidez helbidea lortzen duenean.

Mapaketa non bizi den erabakitzen du hutsegiteak

Erregistra ezazu tupla muga bakoitzean: tunelaren aurretik, barruan eta interfaze publikoan. Tunelaren barruko harrapaketak legitoki desberdina da kanpokotik, eta biak alderatzen dituenak, itzulpena non gertatzen den jakin gabe, ostalari okerraren atzetik ibiliko da.

Itzulera-trafikoak mapaketa gordetzen duen gailutik igaro behar du. Erantzunak beste bide bat hartzen badu, bigarren uplink bat, politika-bide bat edo zure barruti pribatuaz inoiz entzun ez duen hornitzaile bat, egoeradun atzeranzko itzulpena ez da inoiz gertatzen eta bezeroak norabide bakarreko trafikoa ikusten du. Iturburu NAT gehiago gehitzeak gutxitan konpontzen du falta den itzulera-bide bat; sintoma fluxu batean ezkuta dezake, beste nonahi helbideetan oinarritutako politika hautsiz.

Beste akats arrunta tunel batek bideragarritasuna sortuko duela espero izatea da. Bere paketeak internetera ateratzen diren bezero pribatu batek irteera-antolamendu balioduna behar du: bide lehenetsia, birbidaltzen duen ate bat eta, normalean, iturburu-itzulpena helbide publikora. Zifraketa bakarrik ez du helbide pribatu bat irisgarri egiten.

Masquerade edo SNAT esplizitua

Konpara itzazu agintzen dutenaren arabera. Masquerade-k irteera-helbidea aukeratzen du, SNAT esplizituak finkatu egiten du. Helbide publiko egonkorra duen ate batean, finkatzeak balio aurreikusgarri bat ematen die erregistroei eta bazkideen baimen-zerrendei. WAN esteka dinamikoan, finkatutako SNAT helbidea oker bihurtzen da lizentzia aldatzen den unetik, eta Masquerade kasu horretarako eraiki zen zehazki.

Esparruak aukerak adina balio du. Atea uzten duen pakete bakoitzarekin bat egiten duen Masquerade arauak, iturburu- edo helburu-mugarik gabe, ukitu gabe mantendu nahi zenituen trafikoa ere itzultzen du, beste sare pribatu batzuetarako trafikoa barne. Mugatu araua bezeroen barrutira, nahi duzun helmugara eta interfazera.

Politikan oinarritutako IPsec da hori gehien hozten duena. strongSwan-en birbidalketa gidak IP birbidalketa gaitzea eta bezeroentzako iturburu-NAT araua gehitzea azaltzen ditu, eta dokumentazio berak jatorrizko helbidea mantendu behar duen trafikoa baztertzea ere biltzen du. Itzuli iturburu bat segurtasun-politikak bat egin baino lehen, eta tunela altxa daiteke trafikoa oraindik erortzen den bitartean, paketea ez baita negoziatutako hautatzailea bezalakoa orain.

Erabaki ezazu ere urruneko muturrak zer ikusi behar duen. Itzulpenaren ondoren zerbitzu batek atea ikusten du, ez bezero indibiduala. Horrek itzulera-bideratzea sinplifikatzen du eta, aldi berean, erregistroak lautu eta bezero bakoitzeko baimen-zerrendak ezerezten ditu. Bezeroen helbideak gordetzea garrantzitsua bada, planifikatu bideratutako itzulera-bide bat, proba bat gainditzeko ezkutatu ordez.

Arauak Linux ate batean irakurtzea

Urrutiko sarbideko ate batek, 10.8.0.0/24-n bezeroak eta eth0 izeneko WAN interfazea dituenak, birbidalketa gaituta eta fluxua uzten duen iragazki-politika behar ditu, NAT arau batek lagundu ahal izan baino lehen. iptables bertsioak bi norabideak nat taulan gordetzen ditu:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 51820 \
  -j DNAT --to-destination 10.8.0.2:51820

nftables formak bi kako berberak erabiltzen ditu interfaze izendatu batekin eta kate esplizitu batekin:

nft add rule ip nat postrouting ip saddr 10.8.0.0/24 oifname "eth0" masquerade
nft add rule ip nat prerouting iifname "eth0" udp dport 51820 dnat to 10.8.0.2:51820

Bi pasartek suposatzen dute iragazki-kateak birbidalitako fluxua onartzen duela. NAT ez da baimen-arau bat, eta behar bezala itzulitako pakete bat taula bat geroago bazter daiteke oraindik. Egiaztatu mapa bizia conntrack -L-rekin, egiaztatu zer kargatu den nft list ruleset edo iptables-save -t nat-rekin, eta gero harrapatu bi interfazeetan helbidea benetan aldatzen dela ikusteko.

Arau txarra diruditen hutsegite-moduak

Orrazi-trafikoa klasikoa da. Barneko zerbitzari batera zerbitzariaren helbide publikoaren bidez iristen den barneko bezero batek DNAT behar du sarrerako bidean eta iturburu-itzulpena irteerako itzulera-bidean, bestela zerbitzariak zuzenean erantzuten dio bezeroari eta erantzuna baztertzen da. Konponbidea kasu horretarako bigarren arau estuago bat da, barrualdetik publikora, ez dena guztirako Masquerade arau zabalago bat.

Itzulpen bikoitza isila da. Operadore-mailako NAT baten atzean dagoen bezero bat zure atera iristen da atzera bideratu ezin duzun helbide batekin, beraz berriro itzultzen duzu. Funtzionatzen du, baina erregistroek orain bi jauzi daramatzate helbideratze pribatuan eta edozein ikerketak bi mapak behar ditu. Politikan oinarritutako IPsec-ek hirugarren bihurriketa gehitzen du: itzuli politika bat etorri baino lehen eta trafikorik pasatzen ez duen SA bat lortzen duzu, suebakiaren akatsa bezala irakurtzen dena, ez NAT-arena.

Gero proba gainditzen duena eta inplementazioak huts egiten duena daude. NAT komandoa eskuz exekutatzeak mekanismoa frogatzen du, ez konfigurazioa. Exekuzio-denboran gehitutako arau bat berrabiaraztean edo hurrengo interfaze-gertaeran desagertzen da, eta zenbakia aldatzen duen interfazeari lotutako Masquerade arau batek isilpean alda dezake urruneko muturrak ikusten duen helbidea. Jarri araua jabea den suebakiaren konfigurazioan eta probatu berriro berrikonektatu ondoren.

Araua gorde aurretik kontrol-zerrenda

Izenda ezazu lehenik norabidea: iturburua, helmuga edo biak. Gero zehaztu nork gorde behar duen egoera — ateak, goiko routerrak edo IPsec parekoak — eta egiaztatu erantzun-bidea hortik itzultzen dela. Mugatu araua benetan pentsatzen ari zaren bezero-barrutira, helmugara eta interfazera, eta erabaki aldez aurretik urruneko muturrak atea edo bezeroaren jatorrizko helbidea ikusi behar duen.

Probatu bezero batetik, ez atetik. Atean bertan dagoen nabigatzaile batek bezeroen itzulpen-araua erabat saihes dezake, beraz han funtzionatzen duen orrialde batek ez du tunelari buruz ezer frogatzen. Bidali bezeroarengandik sortutako eskaera bat, behatu kontagailuak eta conntrack taula, eta errepikatu tunela berriz konektatu eta WAN helbidea aldatu ondoren, bietako bat zure lantokian posible bada.