Cliaint le sruth iarchurtha taobh thiar de VPN uas-srutha: bealach nó NAT?

Ritheann geata amháin WireGuard do do ghléasanna féin agus cliant OpenVPN chuig líonra duine eile. Oibríonn aistriú idir an dá chomhéadan inmheánacha, agus is furasta teacht ar an gconclúid go bhfuil an fo-líonra le sruth anois mar chuid den tseirbhís uas-shrutha. Níl. Insíonn bealach a tharraingíonn an cliant do gheata cá seoladh iarratais; ní deir sé faic faoin gcaoi a gcuireann an líonra iargúlta trácht ar ais chuig gléasanna nár chuala sé riamh fúthu. Roghnaigh samhail aischurtha a dtacaíonn an t-uas-shruth léi i ndáiríre sula gcuireann tú aon riail amháin leis.

Socraigh an tSamhail aischurtha sula mbaineann tú leis an ródú

Sa siúl tríd seo, úsáideann cliaint le sruth 10.90.0.0/24, is é 10.80.0.6 an seoladh tolláin uas-shrutha a shanntar don gheata, agus is é 172.20.0.30 an acmhainn iargúlta cheadaithe. Oireann dhá shamhail don chruth sin: an fhoinse le sruth a choimeád agus an taobh i bhfad a chur ag ródú di, nó an fhoinse a aistriú go seoladh tolláin an gheata féin. Tá gach rud tar éis an chinnidh seo meicniúil, agus teastaíonn úinéir na seirbhíse ón gcinneadh féin. Is comhaontú ródaithe leis an taobh i bhfad ceann de na rónta thuas; is athrú beartais áitiúil an ceann eile ar féidir leat a dhéanamh leat féin. Is é an meascadh eatarthu a dhéanann athrú deich nóiméad d'idirbheartaíocht.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Roghnaigh ró amháin agus cloí leis. Is roghanna malartacha iad na rónta, ní céimeanna, agus cruthaíonn a meascadh dearadh nach féidir le duine ar bith a mhíniú ag an athbhreithniú.

Coinneáil na foinse trí ródú

Faigheann an taobh i bhfad iarratas ó sheoladh le sruth, mar sin teastaíonn bealach tacaíochta agus úinéireacht peer don fho-líonra sin uaidh, chomh maith le húdarú chun é a ghlacadh. Socruithe iargúlta iad sin, agus ní chruthaíonn aon bhealach Linux áitiúil iad. Iarr iad go sainráite agus i scríbhinn, leis an réimír agus leis an peer tolláin a iompróidh é, agus bí ag súil go mbeidh an freagra ag brath ar cé acu a thacaíonn an tseirbhís le socruithe suíomh-go-suíomh ar chor ar bith.

Má tá an freagra dearfach, tá an chumraíocht áitiúil beag: aistriú cumasaithe, na allowed-ips de chuid peer WireGuard a chlúdaíonn an raon le sruth, agus beartas balla dóiteáin a cheadaíonn an trasnú sa dá threo.

Aistriú foinse d'aon ghnó

Mura gcuireann an tseirbhís trácht ar ais ach chuig seoladh an chliaint atá ceangailte, aistrigh an fhoinse chuig an seoladh sin ar an mbealach amach agus coinnigh an staid conntrack a chasann ar ais é le haghaidh freagraí. Cuir teorainn leis an riail leis na foinsí le sruth atá beartaithe, na cinn scríbe iargúlta atá beartaithe agus an comhéadan uas-shrutha. Is beartas i bhfad níos mó ná an ceanglas seo riail a aistríonn gach rud a fhágann gach comhéadan, agus cuirfidh sé iontas ort níos déanaí.

Teastaíonn dearadh dá chuid féin ó IPv6; ní ailtireacht é líne masquerade IPv4 a chóipeáil. Tástáil an bealach aistrithe le nasc úr seachas le nasc atá i dtaisce.

Caithfidh an bealach sonraí áitiúil oibriú fós

Ní bhaineann aistriú an obair áitiúil amach: teastaíonn bealach ón ngeata fós le haghaidh cinn scríbe le sruth, úinéireacht foinse cheart an peer WireGuard, aistriú cumasaithe agus beartas balla dóiteáin caol idir comhéadain. Ní fheidhmíonn iarratas a ghintear ar an ngeata féin aon cheann de na ceadanna sin, agus sin an fáth a n-éiríonn le tástálacha áitiúla ar an ngeata agus a dteipeann ar ghléasanna le sruth fós.

Tástáil ó ghléas le sruth dáiríre, ní ón ngeata. Is é an seoladh foinse pointe iomlán an chleachtaidh.

Ciallaíonn aon fhoinse amháin aon chéannacht seisiúin

Feiceann an tseirbhís iargúlta seisiún fhíordheimhnithe an gheata agus a sheoladh aistrithe, ní fíordheimhniú neamhspleách do gach gléas le sruth. Coinnigh ceadanna in aghaidh an ghléis agus céannachtaí feidhmchlár go sainráite, agus dearbhaigh le húinéir na seirbhíse go bhfuil geata a ghníomhaíonn ar son roinnt gléasanna ceadaithe ar chor ar bith. Ní bealach é aistriú chun ceanglas clárúcháin in aghaidh an ghléis a sheachaint; má éilíonn an tseirbhís go gcláraíonn gach gléas, úsáid an tsamhail sin nó déan socruithe suíomh-go-suíomh a idirbheartú.

Scríobh an dearbhú sin sa runbook in aice na rialach, mar beidh an chéad athbhreithneoir eile ag fiafraí ar ceadaíodh an dearadh nó arbh áisiúil amháin é.

Sainmhínigh an staid dhícheangailte, ansin tástáil trí iarratas

Socraigh cad a tharlaíonn nuair a thiteann an tollán uas-shrutha. Níor chóir do thrácht iargúlta údaraithe leanúint go ciúin le fallback WAN ordúil mar a bhfuil sé sin toirmiscthe, mar sin ba chóir don bheartas balla dóiteáin a cheadaíonn an trasnú teip go dúnta freisin. Ansin tástáil trí chás ó ghléas le sruth dáiríre: iarratas ceadaithe a oibríonn, iarratas neamhcheadaithe a theipeann, agus teip uas-shrutha a stopann an ceann ceadaithe.

Taifead an rolladh siar in aon líne amháin in aghaidh na rialach, ionas gur féidir an t-athrú a chealú gan an rún a atógáil.