NAT an LAN trí tun0 ar gheata VPN OpenBSD

Is minic a thugann beirt innealtóirí a bhfuil an geata OpenBSD céanna acu dhá shraith riail éagsúla duit chun líonra cianda a shroicheadh, agus is féidir an dá cheann a chosaint. Ní ceist chomhréire ar chor ar bith í an rogha idir aistriú foinseach agus bealach fillte. Braitheann sé ar an méid atá ar eolas ag an taobh thall cheana faoi 192.168.88.0/24 agus ar an méid a theastaíonn uait a choinneáil i do logaí. Déan é sin mícheart agus beidh cuma fhoirfe ar an líne nat-to agus na freagraí ag imeacht isteach i ngeata réamhshocraithe an taobh chianda.

Freagraíonn ródú agus athscríobh do cheisteanna éagsúla

Cinneann an tábla ródaithe go bhfuil 172.20.0.0/16 inrochtana thar tun0, agus tarlaíonn an cinneadh sin sula gcomhairlítear aon aistriú pf. Athraíonn aistriú foinseach an ceannteideal paicéid ansin ionas go bhfeiceann an taobh cianda seoladh tolláin an gheata in ionad óstaigh LAN. Ní thagann ceachtar meicníocht in ionad an chinn eile: ní féidir le riail nat ród a chruthú as faic, agus ní féidir le ród ródaire cianda nár chuala riamh faoi do fholíonra príobháideach a chur ina luí. Nuair a bhíonn bealach fillte in easnamh ar an taobh cianda, scaoiltear na freagraí nó seoltar chuig a ngeata réamhshocraithe iad, agus ní leigheasann aon oiread tiúnála rialach é sin.

Go simplí, freagraíonn seoladh cé acu a théann an trácht agus freagraíonn aistriú cé as a bhfuil sé le feiceáil. Coinnigh ina mboscaí meabhracha ar leith iad agus tú ag dearadh na sraithe rialacha.

Trí choinníoll a shocraíonn é

Cuir trí cheist i ndiaidh a chéile agus is minic a roghnaíonn an dearadh é féin. An bhfuil ród statach ag an líonra cianda ag díriú ar sheoladh an tolláin le haghaidh 192.168.88.0/24, nó an bhfuil a riarthóir i gceannas ar na ródairí ar an mbealach sin? Más ea, lig do sheoltaí an LAN taisteal gan mhionathrú agus scipeáil an aistriú ar fad. An dteastaíonn infheictheacht in aghaidh an chliaint ar an taobh thall, le haghaidh beartas rochtana nó rian iniúchta? Más ea, is fiú an obair ródaithe an fhoinse a chaomhnú. An bhfuil seoladh an tolláin sách cobhsaí le scríobh isteach i ród chianda, nó an mbogann sé idir athnaisc?

Má tá aon fhreagra diúltach nó anaithnid, is é nat-to an rogha phragmatach, agus is é an rogha inchúlaithe freisin. Tagann riail aistrithe amach in aon líne amháin a luaithe a chuireann an taobh cianda ród cheart leis. Cosnaíonn ród fillte nár suiteáladh riamh snáithe tacaíochta duit gach uair a fhiafraíonn duine cén fáth nach n-oibríonn an tollán ach i dtreo amháin.

An píosa a chur ionas go ndéanfaidh pf measúnú air i ndáiríre

Glacann an píosa seo a leanas leis gurb é 192.168.88.0/24 an LAN, gurb é 172.20.0.0/16 an líonra cianda, agus gurb é tun0 an comhéadan tolláin. Níl aon rud ann a roghnaíonn an chéad chéim eile. Ní athscríobhann sé ach an fhoinse ar phaicéid atá ag fágáil tríd an tollán cheana féin.

match out on tun0 inet from 192.168.88.0/24 to 172.20.0.0/16 nat-to (tun0)
pass in on em0 inet from 192.168.88.0/24 to any keep state

Tá dhá mhionsonra sa chéad líne sin a iompraíonn an chuid is mó den mheáchan. Insíonn lúibíní timpeall tun0 do pf an seoladh comhéadain a léamh gach uair a thógann sé iontráil staide, rud a bhfuil tábhacht leis nuair a athuimhrítear an tollán tar éis athnaisc. Ciallaíonn an focal match go ndéanann an riail athscríobh agus ansin go dtiteann sí tríd, mar sin caithfidh riail pass ar leith glacadh leis an sreabhadh fós. Caithfidh an comhéadan a ainmnítear sa líne match a bheith mar an gcéanna leis an gceann a roghnaíonn an tábla ródaithe, nó déanfaidh pf measúnú ar an riail ar bhealach amach eile ná mar a thógann an paicéad i ndáiríre.

Ná déan dearmad ar thaobh an eithne. Caithfear seoladh IPv4 a chumasú, agus caithfidh na rialacha pass staideacha don tollán agus don LAN a bheith ann sula bhfuil aon chiall leis seo. Is é alt PF NAT de cheisteanna coitianta OpenBSD an tagairt cheart d'ord na bhfocal eochair anseo.

Seiceáil an tsraith rialacha sula gcuire tú muinín sa trácht

Seiceáil an chomhréir le pfctl -nf /etc/pf.conf ar dtús, a pharsálann an comhad gan é a lódáil. Ansin lódáil an beartas agus léigh siar an méid atá ag an eithne i ndáiríre, mar is féidir riail a pharsáladh go glan a scáthú nó a cheangal le comhéadan mícheart fós. Priontálann pfctl -sn rialacha aistrithe ina bhfoirm lódáilte, agus priontálann pfctl -sr rialacha scagtha in ord measúnaithe.

Féach ar an sreang ansin. Ar an ngeata, taispeánann tcpdump -ni tun0 'host 172.20.0.10' cé acu seoladh tolláin nó óstach LAN é an seoladh foinse a fhágann an tollán. Deimhníonn netstat -rn -f inet go tapa cén comhéadan a réitíonn an ceann scríbe leis. A luaithe a shreabhann trácht, liostaíonn pfctl -ss iontrálacha staide; mura dtáirg sreabhadh aon stát, níor bhuail an paicéad riamh le riail a chruthaíonn ceann.

Má fhéachann taobh an tolláin go maith agus mura dtagann freagraí fós, stop ag cur pf in eagar. Tá an mhainneachtain atá fágtha ar an ródaire cianda, áit a seoltar an freagra i dtreo seoladh príobháideach nach féidir leis an taobh sin a shroicheadh.

Nuair a chosnaíonn aistriú níos mó ná a shábhálann sé

Folaíonn aistriú cliaint, agus uaireanta is é sin go beacht an mhalairt mhícheart. Cás amháin is ea folíonraí forluiteacha: má úsáideann an taobh cianda 192.168.88.0/24 go hinmheánach freisin, déanann cur i láthair óstach LAN mar an geata an t-imbhualadh níos measa in ionad níos fearr. Cás eile is ea beartais IPsec a roghnaíonn trácht de réir péire seoladh, mar déantar an bunachar beartas slándála a mheaitseáil roimh an aistriú agus ní fheiceann sé do phaicéad athscríofa riamh. Cailleann aon imscaradh a ghearrann táille, a shriantaíonn nó a iniúchann de réir úsáideora an chéannacht a theastaíonn uaidh an nóiméad a thiteann an fhoinse ina haon seoladh amháin.

Gaiste ar leith is ea díorthaigh iniompartha pf. Bíonn táirgí a ghineann a gcomhaid rialacha féin ag súil go ndéanfaí NAT a chumrú tría gcomhéadan, agus scríobhtar thar phíosaí atá curtha in eagar de láimh ar an gcéad athlódáil eile. Ní lódálfaidh sraitheanna rialacha a cóipeáladh ó threoracha a scríobhadh sular tháinig an focal eochair match chun cinn ar eithne reatha, mar sin portáil an chomhréir agus léigh an earráid seachas buille faoi thuairim a thabhairt.

Tá an riail chinnidh a mhaireann i ndiaidh teagmhála le líonraí fíora gearr: suiteáil ród fillte nuair is féidir leat, aistrigh nuair nach féidir, agus scríobh síos cé acu de na trí choinníoll a chuir ort an rogha sin a dhéanamh. Sábhálann an nóta sin tráthnóna don chéad duine eile.