Bi VPN bezero, bi helbide publiko: egin SNAT bat etor dadin

Bi VPN bezerok bi IPv4 helbide publiko ezberdinetatik irten daitezke, eta hori lortzen duen araua jendeak uste baino laburragoa da. Funtzionarazten duena ez da iptables sintaxia, paketeak irteera-katera iristean duen egoera baizik: hango iturburu-helbideak bezeroak bereizten jarraitu behar du. Lehenagoko masquerade batek biak helbide bakarrera bildu baditu, bezero bakoitzeko arauak ezin du bereizketa berreskuratu. Argitu lehenengo galdera hori, eta gero idatzi itzulpena.

Zein nortasun iristen den ateraino

Arauak paketearen iturburu-helbidearekin bat egiten du, ez VPN erabiltzaile-izenarekin eta ez bezero-aplikazio batek erakusten duen izenarekin. Bidean paketea lehenago itzultzen duen guztiak erabakitzen du zure arauak zer ikus dezakeen oraindik. Exekutatu nat taula ordenan eta aurkitu iturburua oraindik bezero bakoitzekoa den puntua.

iptables -t nat -S POSTROUTING

Irakurri zerrenda hori goitik. Goiko aldeko masquerade arauak iturburua berridazten du bat datozen fluxu guztientzat, eta haren ondoren jarritako bezero bakoitzeko sarrerek jada existitzen ez den helbide batekin egiten dute bat. Bi LAN gailuk tunel bat partekatzen dutenean eta barne-helbide bakar gisa iristen direnean, diseinuak aldatu behar du suebakiak baino lehen: mantendu iturburu-barrutiak bereizita edo eman bakoitzari bere barne-helbidea.

Lotu barne-helbidearen esleipena autentifikatutako bezeroari. Helbide hori beste gailu bati emateak irteera-politika ere ematen dio, eta iturburu-itzulpena ez da berez nortasun-proba bat.

Itzulpenak ezin du helbiderik asmatu

Helbide publiko bakoitza irteera-puntu honi esleitu edo hona bideratu behar zaio, eta erantzunek hona itzultzeko bidea aurkitu behar dute. Inork atzera bideratzen ez duen helbide batetik trafikoa bidaltzen duen araua urruneko muturrean baztertzen da edo inoiz eskatu ez zuen ostalari bati erantzuten zaio. Hodei-hornitzaile baten instantziak normalean bere helbide publikoa interfaze pribatuko helbide bihurtuta izaten du paketea irten aurretik, beraz SNAT iturburuak hornitzaileak onartuko duen helbidea izan behar du, kontsolak erakusten duen balioa ez. Irakurri hornitzailearen helbide-eredua eta jarrai ezazu balio publikoa pakete guztietara kopiatu beharrean.

Praktikan horrek esan nahi du hornitzailearen kontsolean bideratutako aurrizkia egiaztatzea suebakia ukitu aurretik, eta interfaze pribatuko helbidea itzulpen-iturburu gisa erabiltzea mapaketa bateko bat denean. Beheko adibideetan erabilitako helbideak dokumentazio-barrutietatik datoz, beraz ordezkatu beharreko lehen gauza helbidearen testua bera da.

Txertatu masquerade orokorraren aurretik

Egiaztatu irteera-interfazea eta uneko katea ezer gehitu aurretik. Lehenengoak erabakitzen du zein paketerekin bat egin dezakeen arauak, eta bigarrenak erakusten du zer dagoen jada haren aurrean.

ip -4 route show default
iptables -t nat -L POSTROUTING -n -v --line-numbers

Lehenengo aginduak interneteko pakete bat benetan ateratzen den interfazea izendatzen du. Bigarrenak katea inprimatzen du lerro-zenbakiekin. Masquerade sarrera orokorra gainetik egon behar duzun lerroa da.

iptables -t nat -I POSTROUTING 1 -s 10.88.4.20/32 -o ens3 -j SNAT --to-source 198.51.100.77
iptables -t nat -I POSTROUTING 1 -s 10.88.4.21/32 -o ens3 -j SNAT --to-source 198.51.100.78

Goiko bi arauek barne-helbide bana dute, bat etortzea irteera-interfazera mugatzen dute eta iturburua espresuki ezartzen dute. Txertatu, ez erantsi: 1. posizioan masquerade lerroaren aurretik ebaluatzen dira. Bien arteko ordenak ez du axola, haien iturburuak ezberdinak baitira. Ordeztu ens3 bide-aginduak jakinarazitakoarekin, eta eduki beste suebaki-kudeatzaileak krosko beretatik urrun, bi tresnak taula bat idaztea izaten baita arau zuzen batek eraginik ez izateko ohiko arrazoia.

Frogatu iturburua fluxu berri batekin

Egoerazko NATak itzulpen bat lotzen du fluxua hasten denean eta geroagoko paketeetarako berrerabiltzen du, beraz aldaketaren aurretik irekitako saioak bere iturburu zaharra gordetzen du aldaketaren ondoren. Hasieratutako konexio berri batek soilik frogatzen du araua.

conntrack -L -s 10.88.4.20 -p tcp --dport 443

Irakurri sarrera horren erantzun-norabidea: haren helmuga urruneko muturrak iturburu gisa ikusten duen helbidea da. Alderatu nahi zenuen helbide publikoarekin, eta har ezazu helbide zaharra duen sarrera goizegi hasitako fluxu baten proba gisa, arau hautsita baten ordez. Eskatu bezeroari konexio berri bat irekitzeko, eta gero errepikatu kontsulta. Jarraipen-taula osoa hustutzeak proba behartzeko atean dauden beste saio guztiak eteten ditu.

Itzulpenak oraindik ez du ibilbidea aukeratzen, ez du fluxua iragazkitik sartzen eta ez du sarrerako zerbitzurik argitaratzen. Ibilbide oker batek eta falta den baimen-arau batek huts egiten jarraitzen dute SNAT arau ezin hobe baten ondoren. Egiaztatu IPv6 eta bigarren mailako irteera-bide oro ere, eta gero idatzi barne-tik-publikoko bikoteak suebakiaren dokumentazioan, hurrengo aldaketa mapaketatik has dadin, arauaren testutik hasi beharrean.