Trácht aontreo tar éis SNAT fo-líonra Tailscale a dhíchumasú

Díchumasaigh NAT foinse ar ródaí fo-líonra Tailscale agus leanann an tollán ag obair fad a stopann na naisc tríd. Sroicheann na hiarratais an ceann scríbe le seoladh overlay an chliaint chianda féin, arb é go díreach cuspóir an athraithe é, agus teastaíonn bealach ó na freagraí anois nach raibh ar an LAN riamh aithne a bheith aige air. Gan an bealach sin tagann na paicéid i dtír, fágann na freagraí tríd an ngnáthgheata, agus láithríonn an teip mar fhadhb balla dóiteáin nach míníonn aon riail bhall dóiteáin í. Tá an tollán sláintiúil; tá an chos fillte ar iarraidh.

Cad a bhí i bhfolach ag SNAT

Le SNAT cumasaithe, athscríobhann an ródaí an seoladh foinse chuig a sheoladh LAN féin sula seolann sé ar aghaidh chuig an bhfo-líonra, ionas go bhfreagraíonn an ceann scríbe do óstach a bhfuil a fhios aige cheana conas teacht air agus nach gá aon rud eile a chumrú. Coinníonn díchumasú an bhunfhoinse, agus feiceann an ceann scríbe seoladh laistigh den raon overlay ansin seachas comharsa ar a shreang féin. Tá an seoladh sin fíor agus ródaitheach ar fud an tailnet, agus tá sé dorochtana ón LAN tríd an ngnáthgheata. Is é an lasc dhoiciméadaithe --snat-subnet-routes=false, curtha i bhfeidhm ar an ródaí fo-líonra Linux féin.

Is socrú buan é seachas lasc in aghaidh an phaicéid, mar sin caithfidh an bealach fillte a bheith ann do gach líonra ceann spríbe a fhreastalaíonn an ródaí sin air. Sin an rud a dhéanann an t-athrú ina chinneadh imlonnaithe seachas ina bhosca seiceála. Faigheann gach rud a fhreastalaíonn an ródaí sin air an riachtanas le hoidhreacht ag an nóiméad céanna.

Cá háit ar féidir leis an mbealach fillte a bheith

Tá trí shuíomh coitianta, agus ní bhíonn siad difriúil ó thaobh cruinnis ach ó thaobh sroichte. Is é ród statach ar an óstach ceann spríbe an ceann is dírí agus is lú inscálaithe, ós rud é go dteastaíonn a chóip féin ó gach gléas. Clúdaíonn tábla ród sa VPC nó i ródaí an tsuímh líonra iomlán ag an am céanna, agus sroicheann rogha DHCP a iompraíonn róid statacha gan aicme na cliaint go huathoibríoch ach teipeann go ciúin uirthi ar ghléasanna a dhéanann neamhaird di.

ip route add 100.64.0.0/10 via 192.168.1.10
ip route get 100.64.0.5

Cibé suíomh a roghnaíonn tú, is é an chéad léim eile seoladh LAN an ródaí agus ní a sheoladh tailnet riamh. Ní féidir le hóstach LAN an t-overlay a shroicheadh go dtí go bhfuil an ród seo aige, mar sin tá an chéad léim eile laistigh den overlay ciorclach agus ní sheolann sé an paicéad aon áit. Míníonn an t-aon mhíthuiscint sin an chuid is mó de na cumraíochtaí a bhfuil cuma cheart orthu agus a theipeann fós, agus maireann sé gach seiceáil nach léann ach tábla an ródaí féin. Scríobh síos cén suíomh a d'úsáid tú, nó seans go dtástáilfidh an chéad duine eile an ceann mícheart.

An teip a léamh mar thrácht aontreo

Is fusa an siomptóm a aithint ná an chúis: freagraíonn an tseirbhís ar an ródaí féin agus fanann sí ina tost ó chliant cianda. Taispeánann gabháil ar an gceann scríbe iarratais ag teacht agus freagraí ag imeacht, rud a fhéachann le rath go dtí go dtuigeann tú cá bhfuil na freagraí sin ag dul. Tá siad ag dul chuig an ngnáthgheata, rud a chiallaíonn gur oibrigh an chos isteach agus nár oibrigh an chos fillte.

Déan gabháil ar an ródaí ina ionad, mar feiceann sé an dá threo d'aon mhalartú amháin agus taispeánann sé ar tháinig freagra riamh. Má fheictear an freagra ar an gceann scríbe ach ní fheictear riamh ar an ródaí é, tá an ród ar iarraidh nó mícheart ar thaobh an chinn scríbe. Má fheictear ar an ródaí é agus má stopann sé ansin, tá an fhadhb níos faide anonn agus baineann sí le himscrúdú eile.

sudo tcpdump -ni any host 100.64.0.5
ip route get 100.64.0.5

An fiú an fíorsheoladh ród

Fanann coinneáil SNAT mar an freagra is simplí aon uair nach féidir an líonra ceann spríbe a athchumrú, agus is é an costas go bhféachann gach cliant cosúil leis an ródaí i logaí agus beartas an chinn spríbe. Tá údar maith le díchumasú nuair a theastaíonn an fíorsheoladh foinse ó fheidhmchlár nó nuair a chaithfidh beartas líonra idirdhealú a dhéanamh idir cliaint a roinneann ródaí. Tá an dá chúis dlisteanach agus níl ceachtar saor in aisce. Caithfidh an tairbhe a bheith fiú ród a chothabháil ar gach líonra ceann spríbe, móide an t-athbhreithniú balla dóiteáin a thuairiscítear thíos.

I gcás aon LAN bhig íocann an mhalartú go hiondúil, agus i gcás scaipeadh fearas nach féidir leo ród statach a ghlacadh ní íocann sé de ghnáth. Taifead an cinneadh agus an chúis in aice le cumraíocht an ródaí, ionas go mbeidh a fhios ag an gcéad riarthóir eile cén t-iompar atá d'aon ghnó. Ní féidir réamhshocrú nár scríobh aon duine a idirdhealú ó fhaillí.

Balla dóiteáin, logáil agus an ról dúbailte

Meaitseálann gach riail a mheaitseáil le seoladh LAN an ródaí foinse dhifriúil anois, agus cuimsíonn sé sin rialacha ceadaithe agus aon réimse loga a thaifead an ródaí mar chliant. Léigh na rialacha sin roimh an gcéad tástáil seachas tar éis an chéad teip, mar cuireann riail nach gceadaíonn ach seoladh an ródaí bac ar an bhfoinse nua amach is amach. Caol an t-ionadaíocht chuig na cliaint agus na calafoirt a dteastaíonn sí uathu, ansin deimhnigh nach n-admhaíonn sí an tailnet ar fad go ciúin.

sudo nft list ruleset | grep -n '100\.64'
sudo iptables-save | grep -n '100\.64'

Is comhcheangal doiciméadaithe é nód amháin a fhreastalaíonn mar nód éalaithe agus mar ródaí fo-líonra araon a d'fhéadfadh trácht in aghaidh an tsrutha a ligean ar lár a luaithe a dhíchumasaítear SNAT an fho-líonra. Baineann scaradh na ról sin ar nóid éagsúla an t-ábhar imní agus tugann sé úinéir amháin do gach ród agus beartas balla dóiteáin. Má chaithfidh na róil fanacht le chéile, bí ag súil leis an iompar sin agus tástáil é sula gcuireann tú an milleán ar chliant. Coinnigh an ród, socrú na lasca agus an ról-roinnt i nóta amháin, mar léitear le chéile iad nuair a theipeann an chéad nasc eile.