Iturri bidezko bideratzea bi VPN pool-entzat: zure erregelari zer egiten zaion ihes
from formako erregela bezeroaren helbidearekin bat dator SNAT-ek berridatzi baino lehen, eta atebidetik egindako proba ez da batere harekin bat etortzen. Egin bilaketa pool bakoitzeko eta irakurri lehentasunak horren ordez.
Bi bezero-pool, atebide bat eta plana hutsala dirudi: erregela batek lehen pool-a uplink azkarretik ateratzen du, beste batek bigarren pool-a bazkide-tunel batetik. Gero erregelak lekuan daude eta bigarren pool-a oraindik bide lehenetsitik ateratzen da. Erregela ez dago hautsita. Paketearen iturria ez da egileak bilaketaren unean espero zuena, itzulpena eta bilaketa pakete beraren bidaiko puntu ezberdinetan gertatzen direlako, eta ordena jende gehienak marrazten duen diagrama mentalaren kontrakoa da.
Bilaketa iturria berridatzi baino lehen gertatzen da
VPN bezero batetik birbidaltzen den pakete baten kasuan, kernel-ak sekuentzia finko bat exekutatzen du. Tunelaren interfazean iristen da, prerouting zeharkatzen du non conntrack eta DNAT bizi diren, gero bideratze-erabakia hartzen da, gero birbidaltzea, gero postrouting, non SNAT azkenik aplikatzen den. from formako erregela bideratze-erabaki horretan kontsultatzen da, hau da, bezeroaren jatorrizko helbidea ikusten du, ez itzulia.
Beraz, masquerade erregela bat gehitzeak ez du aldatzen irteerako fluxuari zein politika dagokion. Aldatzen duena urruneko muturrak ikusten duena da, eta ondorioz zein itzulera-bide dagoen. Bi ondorio ezberdin dira, eta aldaketen berrikuspenek etengabe nahasten dituzte. Bereizi itzazu eta diseinua normalean minutu batean argitzen da.
Erantzunaren noranzkoan agertzen da helbide itzulia erregelen artean. Atebidera itzultzen den paketea helbide itzulira zuzenduta dago, eta helmugan edo iritsi den interfazean oinarritutako politika-erregelak badituzu, hori da parekatuko duzun balioa. Konexio bera, noranzko bakoitzean egia-iturri ezberdina.
| Stage | Source the kernel sees | What it means for your rule |
|---|---|---|
| Prerouting | Client address, 172.31.7.42 | Where marks and DNAT are applied |
| Routing decision | Still 172.31.7.42 | This is where from rules match |
| Postrouting | Becomes 198.51.100.9 | What the far end and its return route see |
Beraz, iturri ezberdineko bi pool-ek bai behar dituzte taula ezberdinak, eta diseinua sendoa da. Goiko taulak baztertzen duena da urruneko guneak zer jaso duen begiratuz eta hortik erregela ondorioztatuz arazteko lasterbidea.
Atebidetik egindako proba ez da pool-aren proba
Atebideak berak sortutako trafikoak ez du inoiz prerouting zeharkatzen, ez baita interfaze batera iritsi. Irteera-bidean bideratzen da, atebidearen beraren helbidea iturri gisa, eta bezero-tarte bati lotutako from erregelak ez du parekatuko. Arlo honetako txartel bakoitzak, kutxatik funtzionatzen duela baina bezerotik ez dioenak, gertaera hori bera errepikatzen du.
Simulatu bezeroa hurbildu beharrean. Bideratze-bilaketa zuzenean galdetu daiteke, iturri bat eta sarrera-interfaze bat emanda:
ip route get 198.51.100.9 from 172.31.7.42 iif tun0
ip route get 198.51.100.9 from 172.31.8.42 iif tun0
ip route show table 201Exekutatu pool bakoitzeko behin. Bi komandoek interfaze bera itzultzen badute, erregelak ez ditu pool-ak bereizten, eta arrazoia falta den erregela bat edo biak bat datozen lehentasun handiagoko erregela bat da. Interfaze ezberdinak itzultzen badituzte baina bezeroak huts egiten jarraitzen badu, hutsegitea bilaketaren ondorengoa da eta erregilei begiratzeari utz diezaiokezu.
Lehentasuna, ez fitxategiko posizioa
Erregelak lehentasun gorakorrean ebaluatzen dira, eta zenbakia da garrantzitsua, ez idatzi zenituen ordena. local taula 0 lehentasunean dago, main taula 32766an eta erregela lehenetsia 32767an, horregatik lehentasun lehenetsiarekin gehitutako erregela zerrendaren amaieratik gertu geratzen da eta ia denaren aurka galtzen du.
ip rule show
ip rule add from 172.31.8.0/24 lookup 201 priority 1000
ip -4 route show table 201Lehentasun esplizitu batek nahi den ordena fitxategian eta berrikuspenean ikusgai jartzen du. Gainera, geroagoko gehigarri batek lehendik dagoen erregela baten aurretik isilka ez salto egitea eragozten du, eta hori da funtzionatzen duen politika bat erlaziorik gabeko aldaketa baten ondoren funtzionatzeari uzten dion arrazoi ohikoena.
Taula osatugabe bat seinalatzen duen erregela parekatuak beste tranpa da. 201 taulak bide lehenetsia badu baina helmugarako biderik ez, paketea baztertu edo leku okerrean bidaltzen da, eta erregelak erabat zuzena dirudi isolatuta. Irakurri taula, ez soilik erregela. Erregela erakuslea da, eta taula hutsa ezerantzako erakuslea.
Itzulera-bideak existitzen jarraitu behar du
Iturri-politikak irteera bat aukeratzen du. Ez du itzulera-bide bat sortzen. Bigarren pool-a bazkide-tunel batetik ateratzen bada, bazkideak 172.31.8.0/24-ra nola iritsi jakin behar du, edo atebidera itzultzeko bide batekin edo jada ezagutzen dituen helbide itzuliak jasoz.
Hauen artean aukeratzea ondorio ikusgaiak dituen diseinu-erabakia da. Bezero-tartea atzera bideratzeak bezero bakoitzaren identitatea gordetzen du bazkidearengan eta zure prefijoa onartzea eskatzen du. Itzulpenak pool-a helbide baten atzean ezkutatzen du eta bazkideak helbide hori soilik onartzea eskatzen du, zure eta haren erregistroak bat ez etortzearen truke nor konektatu zen.
Aukera dezakezuna, idatzi pool-aren definizioaren ondoan. Norbaiten memorian soilik existitzen den itzulera-bidea da bazkideak suebakia aldatzen duen arte irauten duen gauza mota, eta gero berreraikitzeko egun bat behar duena.
Ez harrapatu atebidearen beraren tunela politikan
Bezeroentzat idazten dituzun erregelak atebideak sortutako trafikoari ere aplikatzen zaizkio, baztertzen ez baduzu. Marka batean edo irteera-interfazean oinarritutako erregela zabal batek atebidearen beraren bazkidearekiko konexioa harrapa dezake, eta orduan politika daraman tunela politikak bideratzen du. Horrek begizta edo eten bat sortzen du, hornitzailearen hutsegitea dirudiena.
Mugatu erregela bakoitza diseinuak ahalik eta estuena: iturri-prefijoa, sarrera-interfazea eta, onartzen den lekuan, bezero-paketeek soilik daramaten marka bat. Gero probatu atebidearen beraren konektibitatea erregela-aldaketa bakoitzaren ondoren, hutsegitea autorreferentziazkoa baita eta ez baita bezero-proba batean agertzen.
ip-rule-ren eskuliburu-orriak hautatzailearen eta lehentasunaren semantika dokumentatzen du. Konbinatu pool bakoitzeko bilaketa-proba batekin eta diseinua egiaztagarri bihurtzen da, urtebete irauten duen politika-bideratzearen eta denek ukitzeko beldur direnaren arteko aldea.