Alavirran asiakkaat ylävirran VPN:n takana: reitti vai NAT?

Yksi yhdyskäytävä ajaa WireGuardia omille laitteillesi ja OpenVPN-asiakasta jonkun toisen verkkoon. Välitys kahden sisemmän rajapinnan välillä toimii, ja on helppo päätellä, että alavirran aliverkko on nyt osa ylävirran palvelua. Ei ole. Asiakkaan vetämä reitti kertoo yhdyskäytävällesi, mihin pyynnöt lähetetään; se ei kerro mitään siitä, miten etäverkko palauttaa liikennettä laitteille, joista se ei ole koskaan kuullut. Valitse palautusmalli, jota ylävirta todella tukee, ennen kuin lisäät yhtäkään sääntöä.

Päätä palautusmalli ennen kuin kosket reititykseen

Tässä läpikäynnissä alavirran asiakkaat käyttävät verkkoa 10.90.0.0/24, yhdyskäytävälle annettu ylävirran tunneliosoite on 10.80.0.6 ja hyväksytty etäresurssi on 172.20.0.30. Kaksi mallia sopii tähän muotoon: säilytä alavirran lähde ja saa vastapuoli reitittämään se, tai käännä lähde yhdyskäytävän omaksi tunneliosoitteeksi. Kaikki tämän päätöksen jälkeen on mekaanista, ja päätös itse tarvitsee palvelun omistajan. Yksi rivi yllä on reitityssopimus vastapuolen kanssa; toinen on paikallinen käytäntömuutos, jonka voit tehdä yksin. Näiden kahden sekoittaminen muuttaa kymmenen minuutin muutoksen neuvotteluksi.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Valitse yksi rivi ja pidä siitä kiinni. Rivit ovat vaihtoehtoja, eivät vaiheita, ja niiden sekoittaminen tuottaa suunnittelun, jota kukaan ei osaa selittää katselmoinnissa.

Reititetty lähteen säilytys

Vastapuoli vastaanottaa pyynnön alavirran osoitteesta, joten se tarvitsee tuetun reitin ja peer-omistajuuden sille aliverkolle sekä luvan hyväksyä se. Ne ovat etäasetuksia, eikä mikään paikallinen Linux-reitti luo niitä. Pyydä niitä nimenomaisesti ja kirjallisesti, etuliitteen ja sen kuljettavan tunnel-peerin kanssa, ja odota vastauksen riippuvan siitä, tukeeko palvelu ylipäätään sivusto-sivusto-järjestelyjä.

Jos vastaus on kyllä, paikallinen kokoonpano on pieni: välitys käytössä, alavirran alueen kattavat WireGuard-peerin allowed-ips-arvot ja palomuurikäytäntö, joka sallii ylityksen molempiin suuntiin.

Tarkoituksellinen lähdekäännös

Jos palvelu palauttaa liikennettä vain yhteydessä olevan asiakkaan osoitteeseen, käännä lähde lähtiessä siihen osoitteeseen ja pidä conntrack-tila, joka kääntää sen vastauksia varten. Rajaa sääntö aiottuihin alavirran lähteisiin, aiottuihin etäkohteisiin ja ylävirran rajapintaan. Sääntö, joka kääntää kaiken jokaiselta rajapinnalta lähtevän, on paljon suurempi käytäntö kuin tämä vaatimus, ja se yllättää sinut myöhemmin.

IPv6 tarvitsee oman suunnittelunsa; IPv4-masquerade-rivin kopioiminen ei ole arkkitehtuuria. Testaa käännettyä polkua uudella yhteydellä, älä välimuistissa olevalla.

Paikallisen datapolun on silti toimittava

Käännös ei poista paikallista työtä: yhdyskäytävä tarvitsee edelleen reitin alavirran kohteisiin, oikean WireGuard-peerin lähdeomistajuuden, välityksen käyttöön ja kapean palomuurikäytännön rajapintojen välille. Yhdyskäytävällä itsellään syntyvä pyyntö ei harjoita yhtäkään näistä luvista, minkä vuoksi yhdyskäytävän paikalliset testit menevät läpi, mutta alavirran laitteet epäonnistuvat edelleen.

Testaa todelliselta alavirran laitteelta, älä yhdyskäytävältä. Lähdeosoite on koko harjoituksen pointti.

Yksi lähde tarkoittaa yhtä istuntoidentiteettiä

Etäpalvelu näkee yhdyskäytävän todennetun istunnon ja sen käännetyn osoitteen, ei itsenäistä todennusta jokaiselle alavirran laitteelle. Pidä laitekohtaiset oikeudet ja sovellusidentiteetit eksplisiittisinä ja varmista palvelun omistajalta, että useiden laitteiden puolesta toimiva yhdyskäytävä on ylipäätään sallittu. Käännös ei ole tapa ohittaa laitekohtaista rekisteröintivaatimusta; jos palvelu vaatii jokaisen laitteen rekisteröitymisen, käytä sitä mallia tai neuvottele sivusto-sivusto-järjestely.

Kirjoita tämä vahvistus runbookiin säännön viereen, koska seuraava katselmoija kysyy, hyväksyttiinkö suunnittelu vai oliko se vain kätevää.

Määrittele katkennut tila ja testaa sitten kolme pyyntöä

Päätä, mitä tapahtuu, kun ylävirran tunneli putoaa. Valtuutettu etäliikenne ei saisi hiljaa seurata tavallista WAN-varareittiä siellä, missä se on kielletty, joten ylityksen sallivan palomuurikäytännön on myös epäonnistuttava suljettuna. Testaa sitten kolme tapausta todelliselta alavirran laitteelta: sallittu pyyntö, joka toimii, kielletty pyyntö, joka epäonnistuu, ja ylävirran vika, joka pysäyttää sallitun.

Kirjaa palautus yhdelle riville sääntöä kohden, jotta muutos voidaan perua tarkoitusta uudelleen rakentamatta.