Downstream-klanten efter in upstream-VPN: rûte of NAT?

Ien gateway draait WireGuard foar jo eigen apparaten en in OpenVPN-klant nei it netwurk fan in oar. Trochjaan tusken de twa ynterne ynterfaces wurket, en it is maklik om te konkludearjen dat it downstream-subnet no part fan 'e upstream-tsjinst is. Dat is it net. In rûte dy't de klant lûkt fertelt jo gateway wêr't er oanfragen hinne stjoere moat; it seit neat oer hoe't it fiere netwurk ferkear weromstjoert nei apparaten dêr't it noch noait fan heard hat. Kies in weromkomstmodel dat de upstream echt stipet foardat jo ien regel tafoegje.

Bepaal it weromkomstmodel foardat jo oan routing komme

Yn dizze trochrin brûke downstream-klanten 10.90.0.0/24, it oan 'e gateway tawiisd upstream-tunneladres is 10.80.0.6, en de goedkarde fiere boarne is 172.20.0.30. Twa modellen passe by dy foarm: behâld de downstream-boarne en krije de fiere kant safier dat er dy rûtet, of fertale de boarne nei it eigen tunneladres fan 'e gateway. Alles nei dit beslút is meganysk, en it beslút sels freget de eigner fan 'e tsjinst. De iene rigel hjirboppe is in routingôfspraak mei de fiere kant; de oare is in lokale beliedswiziging dy't jo allinnich dwaan kinne. It trochinoar heljen fan dy twa makket fan in feroaring fan tsien minuten in ûnderhanneling.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Kies ien rigel en hâld dy fêst. De rigels binne alternativen, gjin stappen, en it mingen derfan leveret in ûntwerp op dat nimmen by de resinsje útlizze kin.

Rûtearre behâld fan 'e boarne

De fiere kant krijget in oanfraach fan in downstream-adres, dus hy hat in stipe rûte en peer-eigendom foar dat subnet nedich, plus tastimming om it oan te nimmen. Dat binne fiere ynstellings, en gjin lokale Linux-rûte makket se. Freegje se eksplisyt en skriftlik oan, mei it foarteken en de tunnel-peer dy't it drage sil, en ferwachtsje dat it antwurd ôfhinget fan oft de tsjinst site-to-site-regelingen hielendal stipet.

Is it antwurd ja, dan is de lokale konfiguraasje lyts: trochjaan oansetten, de allowed-ips fan 'e WireGuard-peer dy't it downstream-berik dekke, en in firewallbelied dat de oerstek yn beide rjochtingen tastiet.

Bewuste boarnfertaaling

As de tsjinst ferkear allinnich weromstjoert nei it oansletten klientadres, fertaal dan de boarne by it útgien nei dat adres en hâld de conntrack-tastân dy't it foar antwurden omkeart. Behein de regel ta de bedoelde downstream-boarnen, de bedoelde fiere bestimmings en de upstream-ynterface. In regel dy't alles fertaalt wat elke ynterface ferlit, is in folle grutter belied as dizze eask, en hy sil jo letter ferrasse.

IPv6 freget syn eigen ûntwerp; in IPv4-masquerade-rigel kopiearje is gjin arsjitektuer. Test it fertaalde paad mei in nije ferbining ynstee fan in cachede.

It lokale datapaad moat noch hyltyd wurkje

Fertaaling hellet it lokale wurk net fuort: de gateway hat noch hyltyd in rûte foar downstream-bestimmings nedich, it krekte WireGuard-peer-boarneeigendom, trochjaan oansetten en in smel firewallbelied tusken ynterfaces. In oanfraach dy't op 'e gateway sels makke wurdt, beoefenet gjin ien fan dy tastimmings, en dêrom slagje lokale tests op 'e gateway wylst downstream-apparaten noch hyltyd misse.

Test fan in wier downstream-apparaat, net fan 'e gateway. It boarneadres is it hiele punt fan 'e oefening.

Ien boarne betsjut ien sesje-identiteit

De fiere tsjinst sjocht de authentisearre sesje fan 'e gateway en syn fertaalde adres, net ûnôfhinklike autentikaasje foar elk downstream-apparaat. Hâld tastimmings per apparaat en applikaasje-identiteiten eksplisyt, en befêstigje by de eigner fan 'e tsjinst dat in gateway dy't foar ferskate apparaten hannelet hielendal tastien is. Fertaaling is gjin manier om in eask fan registraasje per apparaat te omgean; as de tsjinst freget dat elk apparaat him registrearret, brûk dat model of ûnderhannelje in site-to-site-regeling.

Skriuw dy befêstiging yn 'e runbook njonken de regel, want de folgjende resinsje sil freegje oft it ûntwerp goedkard is of gewoan handich.

Bepaal de ôfsletten tastân en test dan trije oanfragen

Bepaal wat der bart as de upstream-tunnel falt. Autoriscarre fier ferkear moat net stil in gewoane WAN-fallback folgje wêr't dat ferbean is, dus it firewallbelied dat de oerstek tastiet moat ek ticht misse. Test dan trije gefallen fan in wier downstream-apparaat: in tastiene oanfraach dy't wurket, in net-tastiene oanfraach dy't mist, en in upstream-flater dy't de tastiene tsjinhâldt.

Skriuw de weromdraaiing op yn ien rigel per regel, sadat de feroaring ûngedien makke wurde kin sûnder de bedoeling wer op te bouwen.