Masquerade of beliedsrûte: LAN-ferkear troch in VPN-gateway

In hiel LAN efter in VPN-tunel pleatse is it maklike part; beslute hoe't de fiere kant dy kliïnten sjocht net. Masquerade skriuwt elke LAN-boarne oer nei it tuneladres fan 'e gateway, sadat de fiere ein oan ien peer antwurdet. Beliedsrûte hâldt de orizjinele adressen en freget dat de fiere ein wit hoe't er se berikt. Gjin fan beide is standert; de kar folget út wa't de fiere kant besit en oft identiteit per apparaat fan belang is.

De twa ûntwerpen beloofje ferskillende dingen

Masquerade bringt it LAN werom ta ien sichtbere host: de gateway. It fiere netwurk antwurdet op dat iene adres, en de gateway oerset de antwurden werom nei de kliïnt dy't de stream begûn. Oan 'e fiere kant is gjin rûte nei jo privee-prefiksen nedich, en dêrom oerlibbet dit ûntwerp in oanbieder dy't wegeret se te dragen. De gateway wurdt ek de boarne fan elke ferbining, sadat de fiere kant twa kliïnten net útelkoar hâlde kin.

Beliedsrûte hâldt elk kliïntadres yntakt. It fiere netwurk sjocht de wiere boarne en kin dy logge, in regel per host tapasse of it antwurd direkt nei dat adres stjoere. Dy sichtberens is it hiele punt, en se komt mei in ferplichting: de fiere kant moat in rûte foar it LAN-prefiks hawwe dy't werom troch de tunel wiist. Plan dy rûte foardatst de regel ynskeakelje, want de tunel komt dochs omheech en allinnich de antwurden sille ûntbrekke.

De flatermodi ferskille likefolle as de beloften. In ûntbrekkende masquerade-regel leveret pakketten op dy't mei privee-boarnen fuortgeane en nea weromkomme. In ûntbrekkende weromrûte leveret itselde symptoom ûnder beliedsrûte, mar de reparaasje heart op 'e fiere router en net op 'e gateway.

Masquerade: ien peer oan 'e fiere kant

It masquerade-pad hat in oarder dy't fan belang is. Trochstjoeren moat oan wêze foardat in NAT-regel nut hat, de filtertabel moat it trochferkear yn beide rjochtingen tastean, en pas dan jildt de oersetting op 'e tunelynterface.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i eth1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Kliïnten hawwe noch hieltyd in paad nei de gateway nedich. Of de gateway is har standertrouter, of se drage in spesifike rûte foar it fiere prefiks; as in aparte router de standert bliuwt, hat dy router in statyske rûte foar de tunelbestimmingen nedich, oars giet it pakket nei de ferkearde hop foardat de gateway it sjocht.

DNS is in aparte beslissing. In resolver oan 'e fiere kant antwurdet allinnich as syn antwurd werom reizgje kin nei de kliïnt. Under masquerade liket de fraach fan 'e gateway te kommen, dat it werompaad fan 'e resolver is al foldien; under beliedsrûte hat de resolver deselde weromrûte nedich as elke oare fiere tsjinst.

Beliedsrûte: hâld de boarne, foegje in werompaad ta

Beliedsrûte begjint mei in tabel en in regel dy't dy kiest. Ferkea dat fan 'e LAN-ynterface ynkomt, wurdt nei in wijd tabel stjoerd, en dy tabel draacht in standertrûte troch de tunel. De haadtabel bliuwt ûnoantaast, sadat ferkea dat de gateway sels oanmakket in oar paad folgje kin.

ip rule add iif eth1 table vpn
ip route add default dev tun0 table vpn

De fiere kant moat dan it LAN-prefiks werom troch de tunel rûte. Dat is in konfiguraasje op 'e fiere router, net op dizze gateway. De gateway moat ek antwurden akseptearje dy't op in oare ynterface oankomme as't de haadtabel foarsizze soe; los ferkearde-paadfiltering (rp_filter op 2 set) is de gewoane oanpassing as strikte modus dy pakketten falle lit.

As twa tunels aktyf binne, markearje dan elke stream by it ynkommen en lit de markearring de tabel kieze. In regel dy't allinnich nei de ynfier-ynterface sjocht, stjoert it ferkea fan beide tunels nei deselde tabel, sadat de twadde tunel streamen fan 'e earste stelt. Test dy markearring mei in ferbining dy't in werferbining oerlibbet, want dan docht in mingd belied him foar.

Beslis op grûn fan eigendom en fan wat de fiere kant logt

As de tunel by in oanbieder einiget, brûk masquerade. Dy operator sil jo privee LAN-berikken net rûte, en hy hat gjin reden om yndividuele kliïnten efter jo gateway te ûnderskieden. Ien sichtbere peer is it iennichste model dat syn belied stipet, dat jou him dat en hâld de oersetting oan jo râne. De oanbieder sjocht ien peer, krekt wat syn belied ferwachtet, en jo kliïnten ervje dy iene identiteit.

As beide einen fan jo binne en de fiere tsjinsten op boaradressen wurkje, fertsjinnet beliedsrûte syn ekstra rûte. Firewall-regels, tagong per brûker en auditsjes kinne dan kliïnten ûnderskiede. As de fiere kant allinnich berikberens nedich hat, is masquerade ienfâldiger en hellet it in klasse fan weromrûte-flaters wei.

Hybride ûntwerpen binne normaal: beliedsrûte yn jo eigen netwurk, masquerade oan 'e râne fan 'e oanbieder. Wat fan belang is, is opskriuwe hokker hop oerset en hokker hop rûte, want in tafallige NAT-regel foar ien kliïnt ferberget de boarne foar elke kliïnt yn deselde ketting.

Ferifiearje fan in kliïnt, dan fan in twadde kliïnt

Run de test dêr't it ferkea begjint. Kontrolearje de rûte dy't de host brûkt, sjoch it pakket op 'e tunelynterface ferskine, en ûndersykje conntrack foar de oersetting. Dy folchoarder bewiist dat it pakket it bedoelde paad naam ynstee fan gewoan earne oan te kommen.

Werhelje de test nei in werferbining. In masquerade-regel dy't de ynterface neamt, oerlibbet in nij tuneladres; in regel dy't it âlde adres neamt, docht dat net. Test dan in twadde LAN-host, want in ûntwerp dat op ien masine wurket, hinget faak fan 'e eigen rûte fan dy masine ôf en net fan it belied fan 'e gateway.

Skriuw it keazen model, de oersette of bewarre boarne en de eigner fan 'e weromrûte yn 'e gateway-notysjes. Oars sil de folgjende persoan dy't in kliïnt of in tunel tafoeget, riede, en rieden is hoe't in wurkjende LAN-nei-VPN-konfiguraasje in partiele wurdt.