Reititä yksityisten LAN-verkkojen välillä ennen kuin lisäät uuden NATin

Kaksi sisäistä palomuuria, yksi yksityinen läpikulkusegmentti ja pyyntö sallia muutaman isännän kummassakin LANissa puhua toisen kanssa. Vaisto sanoo pystyttää VPN tai lisätä toinen NAT-kerros, ja molemmat vaistot maksavat enemmän kuin ongelma ansaitsee. Tavallinen reititys riittää, kun kolme ehtoa täyttyvät: osoitealueet eivät ole päällekkäisiä, molemmat puolet voivat palauttaa liikennettä toiseen LANiin ja läpikulkusegmentti on jo tarpeeksi luotettu tiedoille. Tarkista nuo kolme ennen kuin suunnittelet mitään, koska jokainen niistä muuttaa vastausta.

Kolme ehtoa, jotka ratkaisevat suunnittelun

Ensimmäinen ehto on osoiteavaruus. Jos molemmat LANit käyttävät samaa RFC 1918 -lohkoa, reititys ei voi erottaa niitä ja käännöksestä tulee väistämätöntä valinnaisen sijaan. Toinen on paluureitti: reitti A:sta B:hen on hyödytön, ellei B myös tiedä, miten A:n LANiin päästään, ja epäsymmetrinen tieto on yleisin syy siihen, että reititetty suunnittelu pudottaa vastaukset hiljaa.

Kolmas on luottamus. Reititys siirtää paketteja; se ei suojaa niitä. Yksityinen läpikulkusegmentti yhden rakennuksen sisällä on eri asia kuin luovutus operaattorille tai linkki, joka ylittää jaetun kampuksen runkoverkon. Jos segmenttiin ei luoteta, vastaus on tunneli kahden palomuurin välillä, ja alla oleva reitityssuunnitelma pätee edelleen sen sisällä.

Vain kun kaikki kolme osoittavat samaan suuntaan, yksinkertainen suunnittelu voittaa. Kun yksi niistä pettää, korjaa juuri se ehto nimenomaisesti sen sijaan että peittäisit sen käännöksellä, koska NAT kätkee vian sen sijaan että ratkaisisi sen.

Rakenna reittisuunnitelma läpikulkiverkolle

Anna kullekin palomuurille osoite jaetussa segmentissä ja lisää yksi tietty reitti kutakin etäistä LANia kohden. Mitään muuta olemassa olevassa kokoonpanossa ei tarvitse siirtää, ja erityisesti internetin oletusreitin on pysyttävä täsmälleen siinä missä se on. Oletusreitin korvaaminen vastapään palomuurilla lähettäisi jokaisen asiaankuulumattoman kohteen läpikulun kautta, mikä on paljon suurempi muutos kuin pyydetty. pfSensen staattisen reitityksen dokumentaatio kuvaa saman reitti-plus-yhdyskäytävä-mallin kyseiselle alustalle, ja vastaava asetus on olemassa missä tahansa palomuurissa, jota todella käytät.

Palomuuri A palvelee verkkoa 10.30.0.0/24 ja palomuuri B verkkoa 10.40.0.0/24, ja kaksi läpikulkuosoitetta ovat verkossa 192.0.2.0/24. Jokainen LANin isäntä pitää paikallisen palomuurinsa yhdyskäytävänään, joten ainoa uusi tila on yksi reitti kummallakin puolella. Linux-pohjaisessa palomuurissa sama suunnitelma näyttää tältä, ja edelleenlähetys on otettava käyttöön, muuten reitti ratkeaa samalla kun paketti pudotetaan.

sysctl -w net.ipv4.ip_forward=1
ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1
ip route get 10.40.0.15
traceroute -n 10.40.0.15

Pidä suodatus erillään käännöksestä

Reititys ja käytäntö ovat eri kontrolleja, ja juuri jälkimmäisessä useimmat reititetyt suunnitelmat todella epäonnistuvat. Salli tietyt lähteet, kohteet ja palvelut sisääntulorajalla, jonka paketit todella ylittävät, ja muista, että liitännän tunniste kuten WAN on nimi, ei väite luottamuksesta. Yksityistä liikennettä kantavalla läpikulkuportilla voi silti olla yksityisten osoitteiden estäminen oletuksena päällä.

Katso sitten lähtevää käännöstä ennen kuin päättelet, ettei NATia tapahdu. Automaattiset lähtevät säännöt voivat kirjoittaa uudelleen liikennettä, jota ei koskaan ollut tarkoitettu käännettäväksi, ja se tuhoaa lähdeosoitteet, joita toinen puoli tarvitsee omaan käytäntöönsä ja lokeihinsa. Vahvista, että valitut virrat säilyttävät alkuperäiset osoitteensa, ja jätä internetin käännössäännöt rauhaan liikenteelle, joka niitä vielä tarvitsee.

iptables -t nat -S POSTROUTING
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni eth1 -c 5 host 10.40.0.15

Kun NAT on rehellinen vastaus

Käännös ansaitsee paikkansa, kun osoitealueet todella menevät päällekkäin eikä uudelleennumerointi ole mahdollista, tai kun käytäntö vaatii, että toinen puoli näkee yhden osoitteen aliverkon sijaan. Sellaisissa tapauksissa tarkoituksellinen yksi-yhteen- tai porttirajoitettu kartoitus on suunnittelupäätös, jolla on tunnetut seuraukset, ei kiertotie.

Seuraus, joka on sanottava ääneen, on, että toinen puoli ei enää näe tai suodata yksittäisiä lähteitä. Lokit romahtavat kääntävään osoitteeseen, isäntäkohtainen käytäntö lakkaa toimimasta ja vianetsinnästä tulee metsästystä sen selvittämiseksi, mikä sisäinen isäntä omisti virran tietyllä hetkellä. Jos mikään tästä ei merkitse kyseiselle liikenteelle mitään, NAT on kunnossa.

Kun itse läpikulku on väärä oletus

Jos jaettu segmentti ylittää operaattorin, jaetun kytkinrakenteen tai minkä tahansa polun, jolla toinen osapuoli voisi lukea liikennettä, pelkkä reititys ei ole täydellinen vastaus. Tunneli kahden palomuurin välillä antaa luottamuksellisuuden ja vastapuolen todennuksen, ja sen sisällä oleva reititystaulu on sama taulu, jonka olisit kirjoittanut läpikulkuun.

Ratkaise se ensimmäisen osan luottamuskysymyksestä, ei tavasta, että VPN:t ovat turvallisempia. Tunneli jo yksityisen segmentin yli lisää käyttökustannuksia ja yhden vikamuodon ilman hyötyä, kun taas reititys epäluotettavan segmentin yli vaihtaa luottamuksellisuuden yksinkertaisuuteen, jota sinulla ei ole varaa. Kirjoita muistiin, mikä kolmesta ehdosta ohjasi valintaa, niin seuraavan insinöörin ei tarvitse käydä sitä uudelleen läpi.