NAT hairpin: cén fáth a dteipeann ar an bpointe deiridh VPN ón taobh istigh

Ní fadhb teastais de ghnáth é freastalaí VPN a fhreagraíonn ó líonra soghluaiste agus a theipeann ón tolg. Iarrann an cliant taobh istigh den LAN ar an ródaire paicéad a aistriú a bhfuil a cheann scríbe mar sheoladh poiblí an ródaire féin, rud a chiallaíonn go gcaithfidh an paicéad imeacht agus teacht ar ais isteach láithreach. Sin é an t-ionramháil ar a dtugtar hairpinning, agus ní chuireann a lán ródairí i bhfeidhm í nó ní dhéanann siad amhlaidh ach amháin nuair a bhíonn bosca seiceála cumasaithe. Is é rath an tástála ón taobh amuigh a dhéanann mearbhall de, mar cruthaíonn sé go bhfuil an t-éisteoir agus an riail aistrithe ceart.

Éiríonn an paicéad amach agus tagann sé ar ais isteach

Lean an paicéad. Réitíonn an cliant an t-ainm poiblí, ceanglaíonn sé leis an seoladh poiblí, agus athscríobhann NAT ceann scríbe an ródaire an ceann scríbe chuig an bhfreastalaí inmheánach. Seoltar freagra an fhreastalaí chuig seoladh LAN an chliaint, mar sin téann sé ar ais trí chomhéadan LAN an ródaire gan riamh an riail NAT a thrasnú a d'fhanfadh an foinse aistrithe ar ais.

Anois faigheann an cliant paicéad ó sheoladh nár sheol sé aon rud chuige riamh, agus caitheann sé uaidh é. Is é an neamhshiméadracht sin an mhilleadh ar fad.

Cuireann RFC 4787 síos ar an iompar a mbítear ag súil leis ó NAT sa chás seo, agus is é an leagan gearr nach bhfuil ann ach rogha i bhfeidhm fiú nuair a bhíonn sé sonraithe go teoiriciúil. Tugann roinnt ródairí NAT loopback ar an socrú, tugann daoine eile hairpin NAT nó NAT reflection air, agus ní thaispeánann roinnt aon rud ar chor ar bith. Níl ródaire gan é mí-chumraithe; tá sé ag déanamh an ruda ghnáthaigh, agus baineann an leigheas le háit éigin eile. Ná bíodh de thátal agat ó thástáil áitiúil theipthe go bhfuil an riail aistrithe phoiblí mícheart.

Seiceáil 1: tástáil an dá chonair ar leithligh

Ón taobh amuigh den LAN, ceangail leis an bpróifíl chéanna a d'úsáidfeadh fíor-úsáideoir agus deimhnigh go mbunaítear an seisiún. Ón taobh istigh, ceangail leis an seoladh poiblí leis an bpróifíl chéanna agus taifead an earráid bheacht agus an t-am.

Coinníonn tástáil áitiúil bheacht an t-ainm óstach agus ní athraíonn sí ach an seoladh: curl -v --resolve vpn.example.com:443:203.0.113.10 https://vpn.example.com/ seolann sé an t-iarratas chuig an seoladh poiblí agus é fós ag cur an ainm freastalaí cheart i láthair. Scarann sé sin fadhb réitithe ainmneacha ó fhadhb aistrithe, ar furasta iad a mheascadh nuair a oibríonn an t-ainm céanna ó chaifé. Tabhair faoi deara an dteipeann ar an gcliant ag nasc TCP nó níos déanaí ag TLS, mar seolann an chéad cheann chuig aistriú agus an dara ceann chuig féiniúlacht.

Seiceáil 2: léigh a bhfeiceann an freastalaí

Is é radharc an fhreastalaí an breathnóireacht is úsáidí. Rith gabháil ar an óstach VPN scagtha de réir sheoladh LAN an chliaint agus de réir sheoladh LAN an ródaire, ansin déan an iarracht áitiúil arís. Mura dtagann aon rud, níor mhair an paicéad an t-aistriú.

Má thagann nasc ó sheoladh LAN an ródaire seachas ó sheoladh an chliaint, tá hairpinning ag tarlú agus athscríobhadh an fhoinse. Is cumraíocht oibre í sin, ní mhilleadh.

Seiceáil 3: deisigh é gan an chonair sheachtrach a bhaint

Tá trí fhoirm thacaithe ann, in ord méadaitheach an raoin tionchair. Is é an ceann is cúinge ná DNS scoilte: foilsigh taifead inmheánach ionas go réitíonn an t-ainm freastalaí céanna chuig an seoladh inmheánach do chliaint ar an LAN, rud a sheachnaíonn an chonair phoiblí ar fad. Is é an chéad cheann eile an rogha loopback nó reflection de chuid an ródaire a chumasú, má tá sí ann, agus í a chur i bhfeidhm ar an tseirbhís seo amháin. Is é an ceann is leithne riail source-NAT ar an ródaire a athscríobhann trácht ón LAN chuig an bhfreastalaí ionas go dtagann an freagra ar ais tríd an ródaire; ar ródaire Linux is riail MASQUERADE i POSTROUTING í a mheaitseálann seoladh agus port an fhreastalaí. Fágann an trí cinn an chonair sheachtrach slán, agus sin an t-airí atá le caomhnú.

Ná leathnaigh aistriú port gan bhaint chun an chonair áitiúil a dhéanamh cosúil leis an gceann seachtrach, agus ná bog an tseirbhís chuig port eile chun an fhadhb a sheachaint. Athraíonn an dá athrú an rud a fhéadann an domhan seachtrach a shroicheadh chun rud nach bhfeiceann ach an domhan inmheánach a dheisiú.

Tá gaiste amháin ag DNS scoilte ar fiú é a lua. Athraíonn ionadú ainm óstach le IP treallach an rud a dhearbhaíonn an cliant, mar sin caithfidh an taifead inmheánach teacht fós le hainm an teastais.

Seiceáil 4: dearbhaigh an dá chonair ina dhiaidh sin

Déan an iarracht sheachtrach arís ón taobh amuigh den LAN, déan an iarracht inmheánach arís leis an bpróifíl chéanna, agus deimhnigh go dtaispeánann loga an fhreastalaí dhá sheisiún rathúla ar leith seachas rath amháin agus ciúnas amháin. Ansin seiceáil go sroicheann cliaint eile an t-éisteoir fós agus nach bhfuil na bealaí chuig acmhainní príobháideacha athraithe.

Coinnigh an taifead gearr: cén seoladh a d'úsáid gach cliant, cad a chonaic an freastalaí agus cé acu de na trí leigheas a cuireadh i bhfeidhm. Na riachtanais hairpinning in RFC 4787 is tagairt ann do na rudaí a mbítear ag súil leo ó NAT, agus míníonn siad cén fáth a n-iompraíonn ródaire gan an ghné sin é féin go normálta. Is ceist aistrithe í teip áitiúil nach féidir leis an domhan seachtrach a atáirgeadh go dtí go gcruthófar a mhalairt, mar sin tástáil mar sin é.