Masquerade nó ródú beartais: trácht LAN trí gheata VPN

Is é an chuid éasca LAN iomlán a chur taobh thiar de thollán VPN; ní hé sin cinneadh a dhéanamh ar an gcaoi a bhfeiceann an taobh i bhfad na cliaint sin. Athscríobhann masquerade gach foinse LAN chuig seoladh tolláin an gheata, mar sin freagraíonn an taobh i bhfad do phiara amháin. Coinníonn ródú beartais na seoltaí bunaidh agus éilíonn sé go mbeadh a fhios ag an taobh i bhfad conas iad a bhaint amach. Ní réamhshocrú ceachtar acu; leanann an rogha ó cé leis an taobh i bhfad agus ó cé acu a bhfuil tábhacht le féiniúlacht de réir gléis.

Geallann an dá dhearadh rudaí éagsúla

Laghdaíonn masquerade an LAN go dtí óstach amháin infheicthe: an geata. Freagraíonn an líonra i bhfad an seoladh amháin sin, agus aistríonn an geata na freagraí ar ais chuig an gcliant a chuir tús leis an sreabhadh. Ní theastaíonn aon ród chuig do réimíreanna príobháideacha ar an taobh i bhfad, agus is ar an gcúis sin a mhaireann an dearadh seo le soláthraí a dhiúltaíonn iad a iompar. Tagann an geata chun bheith ina fhoinse gach nasc freisin, mar sin ní féidir leis an taobh i bhfad dhá chliant a aithint ó chéile.

Coinníonn ródú beartais seoladh gach cliaint slán. Feiceann an líonra i bhfad an fhoinse iarbhír agus féadann sé í a logáil, riail de réir óstaigh a chur i bhfeidhm nó an freagra a sheoladh díreach chuig an seoladh sin. Is é an infheictheacht sin an pointe ar fad, agus tagann oibleagáid léi: caithfidh ród a bheith ag an taobh i bhfad don réimír LAN a dhíríonn ar ais tríd an tollán. Pleanáil an ród sin sula gcumasóidh tú an riail, mar tiocfaidh an tollán suas cibé ar bith agus ní bheidh ach na freagraí ar iarraidh.

Ní bhíonn na módanna teipe níos lú éagsúil ná na gealltanais. Táirgeann riail masquerade atá in easnamh paicéid a fhágann le foinsí príobháideacha agus nach bhfilleann choíche. Táirgeann ród fillte atá in easnamh an tsiomptóm céanna faoi ródú beartais, ach baineann an ceartú leis an ródaire i bhfad seachas leis an geata.

Masquerade: piara amháin ar an taobh i bhfad

Tá ord ag bóthar masquerade a bhfuil tábhacht leis. Caithfear seoladh chun cinn a chumasú sula ndéanfaidh aon riail NAT aon mhaith, caithfidh an tábla scagtha an t-idirthuras a cheadú sa dá threo, agus is ansin amháin a chuirtear an aistriú i bhfeidhm ar chomhéadan an tolláin.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i eth1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Teastaíonn bealach chuig an ngeata ó na cliaint fós. Bíonn an geata mar ródaire réamhshocraithe acu, nó iompraíonn siad ród sonrach don réimír i bhfad; má fhanann ródaire ar leith mar réamhshocrú, teastaíonn ród statach ón ródaire sin do chinn scríbe an tolláin, nó téann an paicéad chuig an léim mhícheart sula bhfeiceann an geata é.

Cinneadh ar leith is ea DNS. Ní fhreagraíonn réiteoir ar an taobh i bhfad ach amháin má fhéadann a fhreagra taisteal ar ais chuig an gcliant. Faoi masquerade is cosúil gur ón ngeata a thagann an cheist, mar sin tá bealach fillte an réiteora sásta cheana; faoi ródú beartais teastaíonn an bealach fillte céanna ón réiteoir agus a theastaíonn ó aon tseirbhís i bhfad eile.

Ródú beartais: coinnigh an fhoinse, cuir bealach fillte leis

Tosaíonn ródú beartais le tábla agus le riail a roghnaíonn é. Seoltar trácht a thagann isteach ó chomhéadan an LAN chuig tábla tiomnaithe, agus iompraíonn an tábla sin ród réamhshocraithe tríd an tollán. Fanann an príomhthábla gan dochar, mar sin féadann trácht a eascraíonn ón ngeata féin bealach eile a leanúint.

ip rule add iif eth1 table vpn
ip route add default dev tun0 table vpn

Ansin caithfidh an taobh i bhfad an réimír LAN a ródú ar ais tríd an tollán. Is cumraíocht é sin ar an ródaire i bhfad, ní ar an ngeata seo. Caithfidh an geata freagraí a ghlacadh freisin a thagann ar chomhéadan difriúil ón gceann a thuarfadh an príomhthábla; is é scagadh scaoilte an bhealaigh chúil (rp_filter socraithe go 2) an coigeartú is gnách nuair a chaitheann mód docht na paicéid sin amach.

Nuair a bhíonn dhá thollán gníomhach, clibigh gach sreabhadh agus é ag teacht isteach agus lig don chlib an tábla a roghnú. Seolann riail nach bhfeiceann ach an comhéadan ionchuir trácht an dá thollán chuig an tábla céanna, mar sin goideann an dara tollán sreafaí ón gcéad cheann. Tástáil an chlib sin le nasc a mhaireann trí athnascadh, mar is ansin a thagann beartas measctha chun solais.

Cinntigh de réir úinéireachta agus de réir a logálann an taobh i bhfad

Má chríochnaíonn an tollán ag soláthraí, bain úsáid as masquerade. Ní ródóidh an t-oibreoir sin do raonta príobháideacha LAN, agus níl aon chúis aige cliaint aonair a aithint taobh thiar de do gheata. Is é piara amháin infheicthe an t-aon mhúnla a thacaíonn a bheartas leis, mar sin tabhair dó é agus coinnigh an aistriú ar do chiumhais. Feiceann an soláthraí piara amháin, arb é go díreach a bhfuil a bheartas ag súil leis, agus faigheann do chliaint an fhéiniúlacht aonair sin le hoidhreacht.

Má tá an dá cheann agatsa agus má ghníomhaíonn na seirbhísí i bhfad ar sheoltaí foinse, tuilltear a ród breise ag ródú beartais. Is féidir le rialacha balla dóiteáin, rochtain de réir úsáideora agus logaí iniúchóireachta cliaint a aithint ansin. Mura dteastaíonn ón taobh i bhfad ach inrochtaineacht, tá masquerade níos simplí agus baineann sé aicme earráidí róid fillte amach.

Tá dearaí hibrideacha normálta: ródú beartais laistigh de do líonra féin, masquerade ag ciumhais an tsoláthraí. Is é an rud atá tábhachtach ná a scríobh síos cé acu léim a aistríonn agus cé acu léim a ródaíonn, mar cheileann riail NAT thimpisteach a cuireadh leis do chliant amháin an fhoinse do gach cliant sa slabhra céanna.

Fíoraigh ó chliant, ansin ón dara cliant

Rith an tástáil san áit a dtosaíonn an trácht. Seiceáil an ród a úsáideann an t-óstach, féach ar an bpaicéad ag teacht chun solais ar chomhéadan an tolláin, agus scrúdaigh conntrack don aistriú. Cruthaíonn an tseicheamh sin gur ghlac an paicéad an bealach beartaithe seachas teacht áit éigin amháin.

Déan an tástáil arís tar éis athnascaidh. Maireann riail masquerade a ainmníonn an comhéadan le seoladh tolláin nua; ní mhaireann riail a ainmníonn an seoladh sean. Ansin tástáil dara hóstach LAN, mar is minic a bhíonn dearadh a oibríonn ar mheaisín amháin ag brath ar ród an mheaisín sin féin seachas ar bheartas an gheata.

Scríobh an múnla roghnaithe, an fhoinse aistrithe nó caomhnaithe agus úinéir an róid fillte i nótaí an gheata. Mura ndéanfaidh tú, buailfidh an chéad duine eile a chuireann cliant nó tollán leis, faoi thuairim, agus is é buille faoi thuairim an bealach a n-éiríonn cumraíocht LAN-go-VPN a oibríonn ina cumraíocht pháirteach.